🔍 CVE-2008-0681

6.8
CVSS Score
MEDIUM
2008-02-12
2026-04-23 00:35
✅ 완료

🇰🇷 한글 설명

PHPShop 0.8.1의 index.php에 존재하는 SQL 주입 취약점으로, product_id 매개변수를 통해 임의의 SQL 명령어 실행이 가능합니다. shop/flypage 액션을 통해 공격이 가능합니다.

💡 쉬운 설명

웹사이트의 상품 검색 기능에서 특수한 문자를 입력하면 데이터베이스에 임의의 명령을 실행할 수 있는 취약점입니다. 공격자가 고객 정보를 빼내거나 데이터베이스를 수정할 수 있습니다.

🇺🇸 원문 (English)

SQL injection vulnerability in index.php in PHPShop 0.8.1 allows remote attackers to execute arbitrary SQL commands via the product_id parameter, as demonstrated by a shop/flypage action.

📍 영향받는 시스템

PHPShop 0.8.1 이하 버전

⚔️ 공격 벡터

product_id 매개변수에 SQL 구문 주입 via GET 요청 (예: /index.php?action=shop/flypage&product_id=1' OR '1'='1)

🛡️ 대응 방법

PHPShop을 최신 버전으로 업그레이드하거나 product_id 매개변수에 대한 입력 검증 및 Prepared Statement 사용

🔧 검증 코드

PHPShop 설치 디렉토리에서 product_id를 처리하는 index.php 파일을 찾으면 해당 버전에 취약점 존재 가능성이 있으며, SQL Injection 방지 코드(prepared statement 등)의 존재 여부 확인이 필요합니다.

Shell / Script 
find / -name 'index.php' -path '*/PHPShop*' 2>/dev/null | xargs grep -l 'product_id' 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:M/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

PHP