🔍 CVE-2025-60044

8.1
CVSS Score
HIGH
2025-12-18
2026-04-27 16:16
✅ 완료

🇰🇷 한글 설명

AncoraThemes Fribbo 테마의 PHP include/require 문에서 파일명 제어가 부족하여 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자가 임의의 시스템 파일에 접근하여 민감한 정보를 탈취하거나 추가 공격을 수행할 수 있습니다.

💡 쉬운 설명

웹사이트가 사용자 입력값을 검증 없이 그대로 파일 경로로 사용하기 때문에 해커가 /etc/passwd 같은 시스템 파일을 읽을 수 있습니다. 이를 통해 데이터베이스 비밀번호나 설정 정보 같은 중요 정보가 노출될 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in AncoraThemes Fribbo fribbo allows PHP Local File Inclusion.This issue affects Fribbo: from n/a through <= 1.1.0.

📍 영향받는 시스템

AncoraThemes Fribbo 버전 1.1.0 이하

⚔️ 공격 벡터

쿼리 파라미터나 폼 입력을 조작하여 include/require에 전달되는 파일 경로를 상대 경로(../../../etc/passwd)로 변경

🛡️ 대응 방법

Fribbo 테마를 최신 버전으로 업데이트하고 입력값의 화이트리스트 검증 구현 및 realpath() 함수로 경로 정규화

🔧 검증 코드

Fribbo 테마 경로에서 include/require 문이 검색되면, 해당 코드 라인에서 변수 검증이 있는지 수동 검토 필요. 미검증 사용자 입력이 직접 사용되면 취약함

Shell / Script 
find /var/www/html -type d -name '*fribbo*' 2>/dev/null | xargs -I {} grep -r 'include\|require' {} 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP