🔍 CVE-2011-1513

7.5
CVSS Score
HIGH
2011-11-04
2026-04-29 01:13
✅ 완료

🇰🇷 한글 설명

e107 CMS 0.7.24 이전 버전의 install_.php에서 발생하는 정적 코드 주입 취약점으로, 설치 스크립트가 제거되지 않았을 때 공격자가 조작된 MySQL 서버명을 통해 e107_config.php에 임의의 PHP 코드를 주입할 수 있습니다.

💡 쉬운 설명

웹사이트 설치 후에도 설치 파일이 서버에 남아있으면 공격자가 설치 화면을 통해 악성 PHP 코드를 주입할 수 있습니다. 이를 통해 공격자가 서버 전체를 제어할 수 있게 됩니다.

🇺🇸 원문 (English)

Static code injection vulnerability in install_.php in e107 CMS 0.7.24 and probably earlier versions, when the installation script is not removed, allows remote attackers to inject arbitrary PHP code into e107_config.php via a crafted MySQL server name.

📍 영향받는 시스템

e107 CMS version 0.7.24 and earlier versions

⚔️ 공격 벡터

Remote unauthenticated attacker injecting PHP code via crafted MySQL server name parameter in install_.php during installation

🛡️ 대응 방법

Delete install_.php immediately after installation completion; implement server-level access controls to block installation scripts

🔧 검증 코드

If install*.php files are found in e107 directory, the system is vulnerable; immediately delete these files to remove the attack vector

Shell / Script 
find / -name 'install*.php' 2>/dev/null | xargs grep -l 'e107' 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

MySQL