🇰🇷 한글 설명
SourceCodester Class and Exam Timetabling System 1.0 버전에서 SQL 인젝션 취약점이 발견되었습니다. /admin/modal_add_course.php 파일의 mysqli_query 함수 내 course 인자값이 적절히 검증되지 않아 발생하며, 원격 공격자가 이를 악용할 수 있습니다.
💡 쉬운 설명
웹사이트의 데이터베이스를 조작할 수 있는 보안 구멍이 발견되었습니다. 해커가 특수한 명령어를 입력하여 관리자 권한을 얻거나 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was detected in SourceCodester Class and Exam Timetabling System 1.0. The affected element is the function mysqli_query of the file /admin/modal_add_course.php. The manipulation of the argument course results in sql injection. The attack can be launched remotely. The exploit is now public and may be used.
📍 영향받는 시스템
SourceCodester Class and Exam Timetabling System 1.0
⚔️ 공격 벡터
원격에서 조작된 course 인자를 통한 SQL 인젝션 공격
🛡️ 대응 방법
mysqli_query 사용 시 Prepared Statements를 사용하여 입력값을 매개변수화하고 특수 문자를 필터링해야 합니다.
🔧 검증 코드
명령어 실행 결과 해당 파일에서 course 변수가 직접 mysqli_query 함수에 전달되는 코드가 나타나면 취약한 상태입니다.
grep -r "mysqli_query(.*course" /path/to/source/admin/modal_add_course.php