🇰🇷 한글 설명
AdithyaYelloju Restaurant-Management-System의 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. admin/display_menu.php 파일의 Search Form 컴포넌트 내 mysqli_query 함수가 s1 인자를 적절히 검증하지 않아 발생합니다. 공격자는 원격에서 이를 악용하여 데이터베이스를 조작할 수 있으며, 관련 익스플로잇이 이미 공개된 상태입니다.
💡 쉬운 설명
식당 관리 프로그램의 메뉴 검색창에 특수한 명령어를 입력하여 데이터베이스를 해킹할 수 있는 문제입니다. 해커가 원격에서 식당의 중요한 정보를 훔치거나 수정할 위험이 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in AdithyaYelloju Restaurant-Management-System up to 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. Affected by this issue is the function mysqli_query of the file admin/display_menu.php of the component Search Form. This manipulation of the argument s1 causes sql injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
AdithyaYelloju Restaurant-Management-System (commit 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c 이하 버전)
⚔️ 공격 벡터
원격에서 Search Form의 s1 인자에 악의적인 SQL 구문을 삽입하여 공격
🛡️ 대응 방법
mysqli_query 호출 전 Prepared Statements를 사용하여 입력값을 매개변수화하고, 입력값에 대한 검증 로직을 적용해야 합니다.
🔧 검증 코드
출력된 커밋 해시값이 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c와 같거나 그 이전 단계라면 취약한 상태입니다.