🇰🇷 한글 설명
PHPGurukul 일일 경비 추적 시스템 1.1의 register.php 파일에서 이메일 매개변수를 통한 SQL 인젝션 취약점이 발견되었습니다. 공격자는 악의적인 SQL 쿼리를 입력하여 데이터베이스에 무단으로 접근하거나 조작할 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
이 취약점은 회원가입 양식의 이메일 입력창에 특수한 명령어를 입력하여 프로그램의 데이터베이스를 조종할 수 있다는 뜻입니다. 악의적인 공격자가 개인정보를 빼내가거나 시스템을 파괴할 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in PHPGurukul Daily Expense Tracking System 1.1. Affected is an unknown function of the file /register.php. The manipulation of the argument email results in sql injection. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks.
📍 영향받는 시스템
PHPGurukul Daily Expense Tracking System v1.1
⚔️ 공격 벡터
register.php의 email 파라미터에 SQL 쿼리를 주입하여 원격으로 데이터베이스 조작
🛡️ 대응 방법
최신 패치 버전으로 업그레이드하고, 입력값 검증 및 prepared statements 사용
🔧 검증 코드
명령어가 경로를 반환하면 해당 시스템이 설치되어 있고 잠재적으로 취약할 수 있음을 의미합니다.
find /var/www -name 'register.php' -type f 2>/dev/null | xargs grep -l 'Daily Expense' 2>/dev/null