🔍 CVE-2025-53447

8.1
CVSS Score
HIGH
2025-12-18
2025-12-18 20:16
✅ 완료

🇰🇷 한글 설명

PHP 원격 파일 포함 취약점

💡 쉬운 설명

axiomthemes Assembly에서 PHP 파일 이름 제어 오류로 인해 로컬 파일 포함이 가능해지며, 이는 공격자가 서버의 파일을 읽거나 수정할 수 있는 취약점입니다. 이 취약점은 Assembly 버전 1.1 이하에서 발생합니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes Assembly assembly allows PHP Local File Inclusion.This issue affects Assembly: from n/a through <= 1.1.

📍 영향받는 시스템

axiomthemes Assembly 버전 1.1 이하

⚔️ 공격 벡터

공격자는 악의적인 PHP 파일을 서버에 업로드하거나, 기존 파일을 수정하여 서버의 파일을 읽거나 수정할 수 있습니다.

🛡️ 대응 방법

최신 버전의 axiomthemes Assembly를 업데이트 하거나, PHP 파일 포함을 제한하는 보안 설정을 적용하여 취약점을 해결할 수 있습니다.

🔧 검증 코드

로컬에서 Python을 실행하여 axiomthemes Assembly의 취약점을 점검할 수 있습니다. 이 코드는 로컬 서버의 /etc/passwd 파일을 읽어오는데 성공하면 'root:' 문자열이 포함된 결과가 출력되며, 이는 취약점이 존재함을 의미합니다. 실행 전 Python이 설치되어 있어야 하며, axiomthemes Assembly가 로컬에서 실행 중이어야 합니다.

Shell / Script 
python -c "import urllib.request; print(urllib.request.urlopen('http://localhost/axiomthemes/assembly/index.php?file=../../../../etc/passwd').read().decode('utf-8'))" | grep 'root:'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP