🔍 CVE-2025-49256

8.1
CVSS Score
HIGH
2025-06-17
2026-04-23 15:31
✅ 완료

🇰🇷 한글 설명

Sapa 테마의 PHP 파일 포함 기능에서 파일명을 사용자가 제어할 수 있어 로컬 파일 포함 및 원격 파일 실행이 가능한 취약점입니다. 공격자는 악의적인 파라미터를 통해 서버의 임의 파일을 포함시켜 코드를 실행할 수 있습니다.

💡 쉬운 설명

Sapa 테마가 사용자 입력을 검증하지 않고 파일을 로드하는 기능이 있어서, 공격자가 악의적인 파일을 실행할 수 있습니다. 서버의 설정 파일이나 원격 악성 파일을 포함시켜 웹사이트를 장악할 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in thembay Sapa sapa allows PHP Local File Inclusion.This issue affects Sapa: from n/a through <= 1.1.14.

📍 영향받는 시스템

thembay Sapa 테마 버전 1.1.14 이하 모든 버전

⚔️ 공격 벡터

쿼리 파라미터(URL)를 통해 파일 경로를 조작하여 PHP include/require 함수가 원격 또는 로컬 악성 파일을 실행하도록 유도

🛡️ 대응 방법

Sapa 테마를 1.1.15 이상으로 긴급 업데이트하거나, 파일 포함 기능을 비활성화하고, PHP의 allow_url_include를 off로 설정

🔧 검증 코드

1.1.14 이하 버전이면 취약함. 표시되는 Version 번호가 1.1.14 이하이면 업데이트 필요. 파일이 없으면 Sapa가 설치되지 않은 상태

Shell / Script 
head -5 /var/www/html/wp-content/themes/sapa/style.css 2>/dev/null | grep -iE 'Version:|^Version:' || grep -r 'Version' /var/www/html/wp-content/themes/sapa/ 2>/dev/null | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP