🇰🇷 한글 설명
SAP Commerce Cloud에서 사용자 입력값이 데이터베이스 쿼리에 포함되기 전 충분히 검증되지 않는 취약점이 발견되었습니다. 인증된 사용자가 특수하게 조작된 요청을 보내 임의의 SQL 명령을 주입할 수 있으며, 이를 통해 데이터베이스의 민감한 정보를 읽거나 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 데이터베이스를 조작할 수 있는 명령어를 몰래 끼워 넣을 수 있는 보안 약점입니다. 이 공격이 성공하면 중요한 정보가 유출되거나 데이터가 마음대로 삭제될 위험이 있습니다.
🇺🇸 원문 (English)
SAP Commerce Cloud does not sufficiently validate certain user-supplied input before it is incorporated into a database query. An authenticated user could send specially crafted requests to affected functionality to inject arbitrary SQL commands. Successful exploitation could allow the user to read, modify or delete sensitive data from the application's database, resulting in a high impact on confidentiality, integrity and availability of the application.
📍 영향받는 시스템
SAP Commerce Cloud (버전 미지정)
⚔️ 공격 벡터
인증된 사용자가 조작된 입력값을 포함한 HTTP 요청을 통해 SQL 인젝션 수행
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고 입력값 검증 로직을 강화해야 함
🔧 검증 코드
대상 시스템의 응답 헤더를 통해 SAP Commerce Cloud 서비스 운영 여부를 확인하여 취약 대상 여부를 판단함
curl -s -I https://<target-system>/ | grep -i 'SAP Commerce Cloud'