🇰🇷 한글 설명
ningzichun 학생 관리 시스템의 Database Connection 구성 요소 내 config/database.php 파일에서 하드코딩된 자격 증명이 발견되었습니다. 이 취약점은 mysqli_connect 함수를 통해 발생하며, 원격 공격자가 이를 악용할 수 있습니다. 현재 해당 프로젝트는 문제 보고를 받았으나 아직 공식적인 대응을 하지 않은 상태입니다.
💡 쉬운 설명
데이터베이스에 접속하기 위한 비밀번호가 프로그램 코드 안에 그대로 적혀 있어 보안에 취약한 상태입니다. 해커가 원격에서 이 정보를 알아내어 시스템에 무단으로 접속할 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability was determined in ningzichun Student Management System up to 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Affected by this issue is the function mysqli_connect of the file config/database.php of the component Database Connection. This manipulation causes hard-coded credentials. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
ningzichun Student Management System (commit hash 98760f5711cf6dc8b4adca53a9e207ca49b02ebf 포함 버전)
⚔️ 공격 벡터
원격 공격을 통한 하드코딩된 데이터베이스 자격 증명 탈취
🛡️ 대응 방법
config/database.php 파일 내의 하드코딩된 자격 증명을 제거하고 환경 변수 또는 안전한 설정 파일로 관리하도록 수정하십시오.
🔧 검증 코드
명령어 실행 결과로 해당 파일 내에 자격 증명이 포함된 연결 코드가 출력되면 취약한 상태입니다.
grep -r "mysqli_connect" config/database.php