CVE-2019-7139 PoC: Magento SQL 인젝션

이 저장소는 Magento의 인증되지 않은 SQL 인젝션 취약점인 CVE-2019-7139(PRODSECBUG-2198)에 대한 개념 증명(PoC) 익스플로잇을 포함하고 있습니다. 이 취약점은 Ambionics Security의 Charles Fol에 의해 발견되었습니다.

취약점 세부 정보

• CVE ID: CVE-2019-7139
• 영향받는 버전:
  • Magento Open Source <= 1.9.4.0
  • Magento Commerce <= 1.14.4.0
  • Magento 2.1 <= 2.1.16
  • Magento 2.2 <= 2.2.7
  • Magento 2.3.0
• 설명: 이 취약점은 인증되지 않은 공격자가 /catalog/product_frontend_action/synchronize 엔드포인트를 통해 SQL 인젝션을 수행할 수 있게 하여, 잠재적으로 민감한 데이터를 추출하거나 데이터베이스를 조작할 수 있습니다.
• 영향: 데이터 노출, 데이터 조작, 그리고 추가 공격으로의 잠재적 확대.

목적

이 PoC는 교육 목적 및 보안 연구만을 위해 제공됩니다. 이는 공격자가 CVE-2019-7139를 악용하여 오류 기반 또는 시간 기반 SQL 인젝션을 사용해 데이터베이스 정보를 추출하는 방법을 보여줍니다.

설치

1. 저장소를 클론합니다:
   root@kitploit:~

   git clone https://github.com/0xSemZ/Magento-CVE-2019-7139-SQLi-PoC.git
   

2. 저장소 디렉터리로 이동합니다:
   root@kitploit:~

   cd Magento-CVE-2019-7139-SQLi-PoC