🔍 CVE-2025-60063

8.1
CVSS Score
HIGH
2025-12-18
2026-04-27 16:16
✅ 완료

🇰🇷 한글 설명

axiomthemes사의 Rosalinda 테마 버전 1.2.3 이하에서 PHP 파일 경로 입력값을 부적절하게 검증하여 발생하는 로컬 파일 인클루전(LFI) 취약점입니다. 공격자가 예상하지 않은 파일을 include/require 함수로 로드하도록 강제하여 민감한 정보 노출이나 코드 실행이 가능합니다.

💡 쉬운 설명

WordPress Rosalinda 테마에서 파일 이름 검증이 부족하여, 공격자가 서버의 다른 파일들을 강제로 읽게 할 수 있습니다. 설정 파일이나 데이터베이스 정보 같은 민감한 정보 유출 위험이 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes Rosalinda rosalinda allows PHP Local File Inclusion.This issue affects Rosalinda: from n/a through <= 1.2.3.

📍 영향받는 시스템

axiomthemes Rosalinda v1.2.3 이하 (WordPress 테마)

⚔️ 공격 벡터

악의적인 매개변수를 통해 include/require 경로 조작 (예: /wp-content/plugins/../ 경로로 파일 접근)

🛡️ 대응 방법

Rosalinda 테마를 v1.2.4 이상으로 즉시 업데이트하거나, WAF 규칙으로 비정상적인 경로 접근 차단

🔧 검증 코드

Rosalinda 테마의 style.css에서 버전을 확인하여 1.2.3 이하면 '취약' 메시지 출력, 그 이상이면 '안전' 메시지 출력

Shell / Script 
grep -r 'Version:' wp-content/themes/rosalinda/style.css 2>/dev/null | grep -oP 'Version: \K[\d\.]+' | awk '{if($1 <= 1.2.3) print "vulnerable"; else print "safe"}'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP