🔍 CVE-2026-27076

8.1
CVSS Score
HIGH
2026-03-25
2026-04-24 16:35
✅ 완료

🇰🇷 한글 설명

Mikado-Themes LuxeDrive 테마의 PHP 파일 포함/로드 문에서 파일명 제어 부재로 인한 취약점입니다. 공격자가 조작된 입력을 통해 임의의 로컬 파일을 include/require하도록 강제할 수 있으며, 이를 통해 민감한 정보 유출, 설정 파일 노출, 또는 원격 코드 실행이 가능합니다.

💡 쉬운 설명

LuxeDrive 테마에서 공격자가 특수한 요청으로 서버의 숨겨진 파일에 접근할 수 있는 결함입니다. 데이터베이스 암호, 설정 정보 같은 중요한 파일들이 노출될 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Mikado-Themes LuxeDrive luxedrive allows PHP Local File Inclusion.This issue affects LuxeDrive: from n/a through <= 1.0.

📍 영향받는 시스템

Mikado-Themes LuxeDrive 버전 1.0 이하

⚔️ 공격 벡터

HTTP 요청의 파일 경로 파라미터를 조작하여 PHP include/require 함수가 공격자 지정 파일을 로드하도록 유도

🛡️ 대응 방법

LuxeDrive를 최신 버전으로 업데이트하거나, 사용자 입력에 대한 엄격한 화이트리스트 검증 및 realpath() 함수로 디렉토리 탈출 방지

🔧 검증 코드

결과에 나타난 파일들에서 사용자 입력(GET/POST 파라미터 또는 $_REQUEST)이 직접 include/require 함수의 인자로 전달되는 경우 취약점이 존재합니다.

Shell / Script 
find /var/www/html/wp-content/themes/luxedrive -name '*.php' -exec grep -l 'include.*\$\|require.*\$' {} \; 2>/dev/null | head -10

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP