🔍 CVE-2025-67940

8.1
CVSS Score
HIGH
2026-01-22
2026-04-15 00:35
✅ 완료

🇰🇷 한글 설명

Mikado-Themes Powerlift 테마의 파일 포함 취약점으로, 공격자가 PHP 인클루드/require 문 제어를 통해 로컬 파일을 포함시킬 수 있습니다. 이를 통해 민감한 정보 공개 또는 코드 실행이 가능하며, 3.2.1 버전 미만에서 영향을 받습니다.

💡 쉬운 설명

웹사이트에서 사용하는 Powerlift 테마의 버그로 인해 공격자가 서버의 파일을 읽을 수 있습니다. 호스팅된 파일뿐만 아니라 서버 내부의 설정 파일, 데이터베이스 정보 등이 노출될 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Mikado-Themes Powerlift powerlift allows PHP Local File Inclusion.This issue affects Powerlift: from n/a through < 3.2.1.

📍 영향받는 시스템

Mikado-Themes Powerlift 테마 버전 3.2.1 미만 (WordPress)

⚔️ 공격 벡터

특수하게 조작된 URL 파라미터를 통해 로컬 파일 경로를 지정하여 /etc/passwd, wp-config.php 등의 민감한 파일을 로드시킵니다.

🛡️ 대응 방법

Powerlift 테마를 버전 3.2.1 이상으로 즉시 업데이트하세요.

🔧 검증 코드

Powerlift 테마의 style.css 파일에서 버전을 추출하여 3.2.1 미만이면 VULNERABLE, 3.2.1 이상이면 PATCHED로 표시됩니다.

Shell / Script 
grep -r 'Version:' wp-content/themes/powerlift/style.css 2>/dev/null | grep -oP 'Version:\s+\K[\d.]+' | awk '{if ($1 < "3.2.1") print "VULNERABLE: " $1; else print "PATCHED: " $1}'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP