🔍 CVE-2025-54690

8.1
CVSS Score
HIGH
2025-08-14
2026-04-23 15:32
✅ 완료

🇰🇷 한글 설명

themeStek Xinterio 4.2 이하 버전에서 PHP의 include/require 문장에 전달되는 파일명이 제대로 검증되지 않아 발생하는 Local File Inclusion(LFI) 취약점입니다. 공격자가 특조된 입력값을 통해 서버의 임의 파일을 포함시켜 시스템 정보 노출, 원격 코드 실행 등의 피해를 입힐 수 있습니다.

💡 쉬운 설명

웹사이트가 사용자가 보낸 파일명을 확인하지 않고 서버에서 불러와서 실행하는 문제입니다. 해커가 이를 악용하면 서버의 민감한 정보를 읽거나 악성 코드를 실행할 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in themeStek Xinterio xinterio allows PHP Local File Inclusion.This issue affects Xinterio: from n/a through <= 4.2.

📍 영향받는 시스템

themeStek Xinterio 버전 4.2 이하

⚔️ 공격 벡터

사용자 입력값(URL 파라미터, POST 데이터 등)을 통해 include/require 함수에 임의 파일 경로 주입

🛡️ 대응 방법

Xinterio를 4.2 이상으로 업데이트하거나 whitelist 기반의 파일명 검증 로직을 추가하여 include/require에 전달되는 파일을 제한

🔧 검증 코드

출력된 버전이 4.2 이하면 해당 시스템이 취약하며, 4.3 이상이면 패치된 상태입니다.

Shell / Script 
find . -name 'xinterio' -type d 2>/dev/null | head -1 | xargs -I {} cat {}/readme.txt 2>/dev/null | grep -i version || grep -r 'Version:' wp-content/themes/xinterio/ 2>/dev/null | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP