🔍 CVE-2009-0604

7.5
CVSS Score
HIGH
2009-02-16
2026-04-23 00:35
✅ 완료

🇰🇷 한글 설명

PHP Director 0.21 이하 버전의 index.php에 있는 SQL 인젝션 취약점으로, searching 파라미터를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다. 입력값에 대한 충분한 검증 없이 SQL 쿼리에 직접 포함되어 발생합니다.

💡 쉬운 설명

PHP Director 프로그램의 검색 기능에서 공격자가 특수한 문자를 입력하면 데이터베이스를 조작할 수 있는 취약점입니다. 악의적인 사용자가 데이터베이스의 민감한 정보를 탈취하거나 변조할 수 있습니다.

🇺🇸 원문 (English)

SQL injection vulnerability in index.php in PHP Director 0.21 and earlier allows remote attackers to execute arbitrary SQL commands via the searching parameter.

📍 영향받는 시스템

PHP Director 0.21 및 그 이전 모든 버전

⚔️ 공격 벡터

HTTP GET/POST 요청의 'searching' 파라미터에 SQL 인젝션 페이로드를 입력하여 공격

🛡️ 대응 방법

PHP Director를 0.22 이상으로 업그레이드하거나, 모든 사용자 입력값에 대해 SQL 쿼리 매개변수화(prepared statements) 적용

🔧 검증 코드

PHP Director가 설치된 경우 경로가 나타나면 설치 상태 확인 가능하며, 해당 파일의 코드 검토를 통해 searching 파라미터 처리 방식 확인 필요

Shell / Script 
find / -type f -name 'index.php' -exec grep -l 'PHP Director' {} \; 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

PHP