🔍 CVE-2026-22435

8.1
CVSS Score
HIGH
2026-03-05
2026-04-22 21:26
✅ 완료

🇰🇷 한글 설명

AncoraThemes ElectroServ의 PHP 파일 포함 취약점으로, 파일명에 대한 부적절한 제어로 인해 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자가 파일 경로 매개변수를 조작하여 서버의 민감한 파일에 접근하거나 임의 코드를 실행할 수 있습니다.

💡 쉬운 설명

웹사이트가 어떤 파일을 불러올지 결정할 때 사용자 입력을 제대로 검증하지 않는 문제입니다. 공격자가 시스템 설정 파일이나 악의적인 파일을 실행하도록 조작할 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in AncoraThemes ElectroServ electroserv allows PHP Local File Inclusion.This issue affects ElectroServ: from n/a through <= 1.3.2.

📍 영향받는 시스템

AncoraThemes ElectroServ 버전 1.3.2 이하

⚔️ 공격 벡터

HTTP 요청에서 파일 경로 매개변수를 조작하여 php://filter, ../../../etc/passwd 등의 프로토콜 또는 경로를 삽입

🛡️ 대응 방법

ElectroServ를 1.3.3 이상으로 업그레이드하거나 화이트리스트 기반의 파일명 검증 로직 구현

🔧 검증 코드

출력된 버전이 1.3.2 이하면 취약하며, 1.3.3 이상이거나 'not found'면 영향받지 않음

Shell / Script 
find /var/www -name 'electroserv' -type d 2>/dev/null | xargs -I {} grep -r 'Version' {}/readme.txt 2>/dev/null | grep -oE 'Version: [0-9.]+' || echo 'ElectroServ not found'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP