🇰🇷 한글 설명
SourceCodester Class and Exam Timetabling System 1.0 버전에서 SQL 인젝션 취약점이 발견되었습니다. /admin/modal_add_course1.php 파일의 mysqli_query 함수 내 course 인자 조작을 통해 발생하며, 원격 공격자가 이를 악용할 수 있습니다.
💡 쉬운 설명
해커가 웹사이트의 입력창에 특수한 명령어를 넣어 데이터베이스를 마음대로 조작할 수 있는 보안 결함입니다. 이로 인해 중요한 정보가 유출되거나 데이터가 삭제될 위험이 있습니다.
🇺🇸 원문 (English)
A flaw has been found in SourceCodester Class and Exam Timetabling System 1.0. The impacted element is the function mysqli_query of the file /admin/modal_add_course1.php. This manipulation of the argument course causes sql injection. The attack may be initiated remotely. The exploit has been published and may be used.
📍 영향받는 시스템
SourceCodester Class and Exam Timetabling System 1.0
⚔️ 공격 벡터
원격에서 course 인자 값을 조작하여 수행하는 SQL 인젝션 공격
🛡️ 대응 방법
Prepared Statements를 사용하여 SQL 쿼리를 매개변수화하고 입력값 검증을 강화해야 합니다.
🔧 검증 코드
명령어 결과로 해당 파일 내에 변수가 직접 포함된 mysqli_query 호출 코드가 나타나면 취약한 상태입니다.
grep -r "mysqli_query(.*course" /var/www/html/admin/modal_add_course1.php