🔍 CVE-2025-62868

8.1
CVSS Score
HIGH
2025-10-24
2026-10-08 11:10
✅ 완료

🇰🇷 한글 설명

Edge CPT 플러그인의 PHP include/require 문에서 파일명 검증이 부족하여 공격자가 로컬 파일을 임의로 포함시킬 수 있는 취약점입니다. 이를 통해 시스템의 민감한 파일(설정파일, 데이터베이스 자격증명 등)을 읽을 수 있습니다.

💡 쉬운 설명

Edge CPT 플러그인이 파일을 잘못된 방식으로 불러와서 공격자가 원하는 파일을 읽을 수 있습니다. 서버 내부의 설정파일이나 개인정보가 노출될 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Edge-Themes Edge CPT allows PHP Local File Inclusion.This issue affects Edge CPT: from n/a through 1.4.

📍 영향받는 시스템

Edge CPT 버전 1.4 이하

⚔️ 공격 벡터

공격자가 특수하게 조작된 요청(쿼리 파라미터)을 통해 플러그인으로 하여금 로컬 파일을 include/require하도록 강제

🛡️ 대응 방법

Edge CPT를 최신 버전으로 업데이트하거나 입력값 검증 필터를 추가하여 include/require 대상 파일 경로 제한

🔧 검증 코드

반환된 PHP 파일들을 확인하여 파일 경로가 사용자 입력값으로부터 직접 제어되는지 검토하고, 1.4 이하 버전이면 취약함

Shell / Script 
find /path/to/wordpress/wp-content/plugins/edge-cpt -name '*.php' -exec grep -l 'include\|require' {} \; 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP