CVE-2025-65354 — SQL 인젝션 취약점

요약

PuneethReddyHC event-management 애플리케이션 버전 1.0에는 부적절한 입력 처리로 인한 SQL 인젝션 취약점이 존재합니다.

취약점 유형

SQL 인젝션

영향을 받는 구성 요소

엔드포인트: /Grocery/search_products_itname.php 파라미터: sitem_name (POST)

공격 유형

원격

영향

원격의 인증되지 않은 공격자가 sitem_name POST 파라미터에 제작된 페이로드를 주입하여 SQL 쿼리를 조작할 수 있습니다. 성공적인 악용 시 쿼리 로직 변경 및 데이터베이스 내용 노출이 가능해져, 민감한 데이터 유출과 백엔드 손상으로 이어질 수 있습니다.

영향을 받는 버전

PuneetethReddyHC event-management v1.0

개념 증명

부울 기반 SQL 인젝션 페이로드를 사용하여 문제를 입증했습니다. 예시 페이로드:

-1' OR 5*5=25 --

-1' OR 5*5=26 --

-1' OR 231=6 AND 000648=000648 --

완화 방안