🇰🇷 한글 설명
PHPGurukul Daily Expense Tracker System 1.1 버전의 /dets/forgot-password.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 email 또는 contactno 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있습니다. 이 취약점은 이미 공개되어 악용될 가능성이 높습니다.
💡 쉬운 설명
비밀번호 찾기 페이지의 입력창에 특수한 명령어를 입력하여 데이터베이스를 조작할 수 있는 보안 약점입니다. 해커가 이를 이용해 시스템의 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Daily Expense Tracker System 1.1. Impacted is an unknown function of the file /dets/forgot-password.php. The manipulation of the argument email/contactno leads to sql injection. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Daily Expense Tracker System 1.1
⚔️ 공격 벡터
원격에서 email 또는 contactno 매개변수를 조작하는 SQL 인젝션 공격
🛡️ 대응 방법
입력값에 대한 검증 로직을 강화하고 Prepared Statements를 사용하여 SQL 인젝션을 방지해야 합니다.
🔧 검증 코드
해당 경로에 취약한 파일이 존재하는지 확인하여 공격 대상 여부를 판단합니다.
ls -l /var/www/html/dets/forgot-password.php 2>/dev/null