CVE:CVE-2009-0542
CNNVD:CNNVD-200902-286
ProFTPD是一款开放源代码FTP服务程序。
ProFTPD的SQL认证模块没有正确地处理百分号字符(%)。在mod_sql查询中，可使用百分号表示变量。当mod_sql模块查找到百分号时，就会试图用变量替换，这就改变了基本查询的用户名。例如，对于用户名tj%string.com，由于会使用FTP响应状态替换百分号，但不存在状态值，因此会使用默认的"-"字符串，这个用户名最终变为tj-tring.com。
solution:Upgrade proftpd_project proftpd to a higher version than 1.3.1,1.3.2,1.3.2_rc2,and avoid the version 1.3.1,1.3.2,1.3.2_rc2