🔍 CVE-2025-49295

8.1
CVSS Score
HIGH
2025-06-09
2026-04-23 15:31
✅ 완료

🇰🇷 한글 설명

MediClinic 테마의 경로 순회 취약점으로 인해 공격자가 웹 서버 상의 임의의 파일에 접근할 수 있는 PHP Local File Inclusion(LFI) 취약점입니다. 버전 2.1 이하에서 '.../...//' 형태의 특수 경로 문자열을 이용하여 파일 접근 제한을 우회할 수 있습니다.

💡 쉬운 설명

웹사이트의 MediClinic 테마에서 특수한 경로 형식을 사용하면 공개되지 않아야 할 파일들을 읽을 수 있는 보안 결함입니다. 공격자가 데이터베이스 설정파일이나 개인정보 등 민감한 파일에 접근하여 정보를 유출할 수 있습니다.

🇺🇸 원문 (English)

Path Traversal: '.../...//' vulnerability in Mikado-Themes MediClinic mediclinic allows PHP Local File Inclusion.This issue affects MediClinic: from n/a through <= 2.1.

📍 영향받는 시스템

MediClinic (by Mikado-Themes) 버전 2.1 이하

⚔️ 공격 벡터

HTTP GET/POST 요청에서 '.../...//' 경로 순회 문자열을 포함하여 PHP include() 함수의 파일 경로 매개변수 조작

🛡️ 대응 방법

MediClinic을 최신 버전으로 업데이트하거나, 웹 서버 설정에서 경로 순회 공격 필터링 규칙 적용

🔧 검증 코드

Version이 2.1 이하이면 취약한 상태이며, 2.2 이상이면 패치됨

Shell / Script 
find /var/www/html/wp-content -type f -name 'style.css' -path '*mediclinic*' -exec grep -H 'Version:' {} \; 2>/dev/null | grep -oE 'Version: [0-9.]+' | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP