🔍 CVE-2025-68546

7.5
CVSS Score
HIGH
2025-12-23
2026-10-19 22:10
✅ 완료

🇰🇷 한글 설명

Nika 테마의 PHP include/require 문에서 파일명 검증이 불충분하여 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자는 부적절한 입력을 통해 시스템 파일에 접근하거나 원격 코드 실행이 가능합니다.

💡 쉬운 설명

Nika 테마에서 웹사이트가 검증되지 않은 경로에서 파일을 로드할 수 있는 보안 결함이 있습니다. 공격자가 이를 악용해 서버의 민감한 파일을 읽거나 악성 코드를 실행할 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in thembay Nika nika allows PHP Local File Inclusion.This issue affects Nika: from n/a through <= 1.2.14.

📍 영향받는 시스템

thembay Nika (nika) 버전 1.2.14 이하

⚔️ 공격 벡터

include() 또는 require() 함수에 사용자 입력값($_GET, $_POST, $_REQUEST 등)을 필터링 없이 전달

🛡️ 대응 방법

1.2.15 이상 버전으로 업데이트 또는 화이트리스트 기반 파일명 검증 로직 추가

🔧 검증 코드

명령어 결과에서 include/require 문이 $_GET, $_POST 등 사용자 입력값을 직접 사용하면 취약점 존재 여부 확인 가능합니다.

Shell / Script 
find /path/to/nika -name '*.php' -type f -exec grep -l 'include\|require' {} \; | xargs grep -E '\$(GET|POST|REQUEST|_SERVER)' | head -10

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP