🔍 CVE-2025-49942

8.1
CVSS Score
HIGH
2025-12-18
2026-10-05 14:10
✅ 완료

🇰🇷 한글 설명

AncoraThemes Gardis 플러그인의 부적절한 파일명 제어로 인한 PHP 로컬 파일 포함(LFI) 취약점입니다. 공격자는 이를 악용하여 서버의 민감한 파일을 읽거나 원격 코드를 실행할 수 있습니다. 버전 1.2.13 이하가 영향을 받습니다.

💡 쉬운 설명

Gardis 플러그인에서 공격자가 의도하지 않은 파일을 로드하도록 조작할 수 있는 보안 구멍이 있습니다. 이를 통해 데이터베이스 설정, 사용자 정보 등 중요한 파일을 읽거나 악의적인 코드를 실행할 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in AncoraThemes Gardis gardis allows PHP Local File Inclusion.This issue affects Gardis: from n/a through <= 1.2.13.

📍 영향받는 시스템

AncoraThemes Gardis <= 1.2.13

⚔️ 공격 벡터

파라미터 조작을 통한 HTTP 요청으로 로컬 파일 경로를 포함시키는 공격

🛡️ 대응 방법

Gardis를 1.2.14 이상으로 즉시 업데이트하거나 플러그인을 제거

🔧 검증 코드

명령어에서 gardis 플러그인의 버전이 1.2.13 이하로 표시되면 취약합니다. 버전이 없거나 플러그인이 없으면 안전합니다.

Shell / Script 
wp plugin list --field=name,version 2>/dev/null | grep -i gardis || ls -d wp-content/plugins/gardis 2>/dev/null | xargs -I {} sh -c 'grep Version {}/style.css 2>/dev/null || grep Version {}/gardis.php 2>/dev/null'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP