🔍 CVE-2025-69047

8.1
CVSS Score
HIGH
2026-01-22
2026-04-15 00:35
✅ 완료

🇰🇷 한글 설명

magentech MaxShop의 PHP include/require 문에서 파일명 검증이 부족하여 PHP 로컬 파일 포함(LFI) 공격을 허용하는 취약점입니다. 공격자는 임의의 서버 파일을 접근하여 민감한 정보를 탈취하거나 원격 코드 실행으로 확대할 수 있습니다.

💡 쉬운 설명

웹사이트가 사용자 입력을 제대로 검증하지 않아 서버의 민감한 파일들에 접근할 수 있게 해줍니다. 공격자가 설정파일, 비밀번호, 데이터베이스 정보 등을 읽을 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in magentech MaxShop sw_maxshop allows PHP Local File Inclusion.This issue affects MaxShop: from n/a through <= 3.6.20.

📍 영향받는 시스템

magentech MaxShop sw_maxshop <= 3.6.20

⚔️ 공격 벡터

조작된 파일 경로를 PHP include/require 문이 처리하는 파라미터에 입력하여 서버의 임의 파일 접근

🛡️ 대응 방법

MaxShop을 3.6.21 이상으로 즉시 업데이트하거나 파일 경로 입력값에 대한 화이트리스트 검증 추가

🔧 검증 코드

표시된 버전이 3.6.20 이하면 취약함, 3.6.21 이상이면 패치됨, 명령어 결과가 없으면 해당 디렉토리에 MaxShop이 설치되지 않았거나 다른 경로에 설치됨

Shell / Script 
cat /var/www/html/maxshop/VERSION 2>/dev/null || find /var/www -path '*maxshop*' -name 'VERSION' -exec cat {} \; 2>/dev/null | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP