🔍 CVE-2008-6231

7.5
CVSS Score
HIGH
2009-02-20
2026-04-23 00:35
✅ 완료

🇰🇷 한글 설명

Pre Classified Listing PHP 애플리케이션에서 adminname과 adminid 쿠키를 "admin"으로 설정하여 인증을 우회하고 관리자 권한을 획득할 수 있는 취약점입니다. 쿠키 값에 대한 서버 측 검증이 없어 공격자가 임의로 쿠키를 조작하면 관리자로 로그인됩니다.

💡 쉬운 설명

웹사이트의 관리자 판단을 하는 쿠키를 직접 수정하면 관리자가 될 수 있습니다. 비밀번호 입력 없이 브라우저에서 쿠키만 변경하면 관리자 페이지에 접근 가능합니다.

🇺🇸 원문 (English)

Pre Classified Listing PHP allows remote attackers to bypass authentication and gain administrative access by setting the (1) adminname and the (2) adminid cookies to "admin".

📍 영향받는 시스템

Pre Classified Listing PHP (특정 버전 명시 없음, 취약점 공개 당시 영향 범위)

⚔️ 공격 벡터

브라우저 개발자 도구나 curl을 이용하여 요청 쿠키에 adminname=admin, adminid=admin 추가

🛡️ 대응 방법

서버에서 쿠키 기반 인증을 제거하고 세션 토큰 기반 인증 구현, 모든 관리자 페이지 접근 시 세션 검증 강제 적용

🔧 검증 코드

200 상태 코드 반환 또는 관리자 페이지 콘텐츠가 로드되면 취약점 존재, 403/401 또는 로그인 페이지 표시되면 패치됨

Shell / Script 
curl -b 'adminname=admin;adminid=admin' http://target/admin.php -w '\nStatus: %{http_code}\n' 2>/dev/null | grep -E 'Status|admin'

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

PHP