🇰🇷 한글 설명
code-projects Gym Management System PHP 1.0의 /index.php 파일에서 day 파라미터에 대한 입력 검증이 부족하여 SQL injection 취약점이 발생합니다. 공격자는 악의적인 SQL 코드를 day 파라미터에 삽입하여 데이터베이스에 직접 접근할 수 있습니다.
💡 쉬운 설명
짐 관리 시스템의 웹사이트 URL에서 날짜 입력 부분에 특수 명령어를 넣으면 데이터베이스의 민감한 정보를 빼낼 수 있는 보안 허점입니다. 누구나 인터넷으로 이 공격을 할 수 있으며 이미 알려진 취약점입니다.
🇺🇸 원문 (English)
A vulnerability was found in code-projects Gym Management System In PHP and Windows NT 1.0. This vulnerability affects unknown code of the file /index.php. Performing a manipulation of the argument day results in sql injection. The attack can be initiated remotely. The exploit has been made public and could be used.
📍 영향받는 시스템
code-projects Gym Management System PHP 1.0 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청을 통해 /index.php의 day 파라미터에 SQL injection payload 전송
🛡️ 대응 방법
최신 버전으로 업그레이드, 입력값 검증 및 이스케이프 처리, PreparedStatement 또는 파라미터화된 쿼리 사용
🔧 검증 코드
결과가 나타나면 취약한 gym management 파일이 시스템에 존재하는 것이며, 해당 파일의 day 파라미터 처리 코드를 확인하여 SQL 함수 사용 여부를 검토해야 합니다.
find / -name 'index.php' -path '*gym*' 2>/dev/null | head -1 | xargs grep -l 'day' 2>/dev/null