🔍 CVE-2025-26735

7.5
CVSS Score
HIGH
2025-05-19
2026-04-28 19:29
✅ 완료

🇰🇷 한글 설명

Candid themes의 Grip 테마에서 PHP Include/Require 문의 파일명 제어 불충분으로 인한 원격 파일 포함(RFI) 취약점입니다. 공격자는 임의의 원격 파일을 포함시켜 서버에서 코드 실행이 가능합니다. 1.0.9 버전 이하가 영향을 받습니다.

💡 쉬운 설명

웹사이트 테마에서 외부 파일을 안전하게 확인하지 않아 공격자가 악의적인 파일을 로드할 수 있는 문제입니다. 이를 통해 해커가 서버를 제어하거나 개인 데이터를 탈취할 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Candid themes Grip.This issue affects Grip: from n/a through 1.0.9.

📍 영향받는 시스템

Candid themes Grip version 1.0.9 and earlier

⚔️ 공격 벡터

Remote attacker injects malicious file paths through unvalidated include/require parameters to execute arbitrary code on the server

🛡️ 대응 방법

Update Grip theme to version 1.1.0 or later and implement strict filename validation and input sanitization

🔧 검증 코드

Version이 1.0.9 이하이면 취약함, 1.1.0 이상이면 패치됨, 파일이 없으면 테마가 설치되지 않음

Shell / Script 
cat /var/www/html/wp-content/themes/grip/style.css 2>/dev/null | grep Version

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP