🔍 CVE-2025-24766

7.5
CVSS Score
HIGH
2025-08-14
2026-04-23 15:25
✅ 완료

🇰🇷 한글 설명

WordPress 플러그인 'News Magazine X' 1.2.37 이하 버전에서 PHP include/require 문의 파일명을 부적절하게 제어하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 경로 조작을 통해 서버의 임의 파일을 포함시켜 민감 정보 유출 및 원격 코드 실행이 가능합니다.

💡 쉬운 설명

플러그인이 어떤 파일을 로드할지 제대로 확인하지 않아서, 공격자가 민감한 파일(설정, 데이터베이스 정보 등)을 볼 수 있습니다. 경우에 따라 악성 코드 실행도 가능합니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in wproyal News Magazine X news-magazine-x allows PHP Local File Inclusion.This issue affects News Magazine X: from n/a through <= 1.2.37.

📍 영향받는 시스템

WordPress 플러그인 News Magazine X <= v1.2.37

⚔️ 공격 벡터

파일 포함 파라미터에 경로 트래버설(../../) 또는 절대 경로 입력으로 임의 파일 접근

🛡️ 대응 방법

플러그인을 1.2.38 이상으로 즉시 업데이트하거나 미지원 플러그인 제거

🔧 검증 코드

플러그인 파일 목록이 표시되면 설치 여부 확인 가능하며, 점검 후 버전 확인은 플러그인 header.php 또는 readme.txt에서 'Version:' 필드로 확인하세요.

Shell / Script 
grep -r 'news-magazine-x' /var/www/html/wp-content/plugins/ 2>/dev/null && find /var/www/html/wp-content/plugins/news-magazine-x -type f -name '*.php' -exec grep -l 'include\|require' {} \; 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP