🇰🇷 한글 설명
PHPGurukul Daily Expense Tracker System 1.1의 /dets/index.php 파일 내 로그인 컴포넌트에서 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 email 인자 값을 조작하여 발생하며, 원격에서 공격자가 데이터베이스를 조작할 수 있습니다. 현재 공격 코드가 공개되어 있어 실제 공격에 악용될 위험이 높습니다.
💡 쉬운 설명
로그인 화면의 이메일 입력창에 특수한 명령어를 입력하여 데이터베이스를 몰래 조작할 수 있는 보안 약점입니다. 해커가 이 방법을 통해 사용자 정보를 훔치거나 시스템을 마음대로 제어할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was detected in PHPGurukul Daily Expense Tracker System 1.1. This vulnerability affects unknown code of the file /dets/index.php of the component Login. Performing a manipulation of the argument email results in sql injection. Remote exploitation of the attack is possible. The exploit is now public and may be used.
📍 영향받는 시스템
PHPGurukul Daily Expense Tracker System 1.1
⚔️ 공격 벡터
원격에서 로그인 페이지의 email 파라미터에 SQL 인젝션 구문을 삽입하여 공격
🛡️ 대응 방법
입력값 검증(Prepared Statements 사용)을 적용하고 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
해당 경로에 파일이 존재하는지 확인하고, 소스 코드 내에 email 관련 입력 처리 로직이 있는지 검사합니다.
ls -l /var/www/html/dets/index.php && grep -i 'email' /var/www/html/dets/index.php