🔍 CVE-2026-28023

8.1
CVSS Score
HIGH
2026-03-05
2026-04-22 21:26
✅ 완료

🇰🇷 한글 설명

ThemeREX Nuts 플러그인의 파일 포함 제어 부족으로 인한 PHP 로컬 파일 포함(LFI) 취약점입니다. 공격자가 부적절한 파일 경로 검증을 통해 서버의 민감한 파일(설정, 비밀번호 등)에 접근할 수 있습니다. 버전 1.10 이하가 영향을 받습니다.

💡 쉬운 설명

ThemeREX Nuts 플러그인이 어떤 파일을 열 수 있는지 제대로 확인하지 않아서, 해커가 서버의 숨겨진 파일들을 읽을 수 있습니다. 즉시 플러그인을 최신 버전으로 업데이트해야 합니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Nuts nuts allows PHP Local File Inclusion.This issue affects Nuts: from n/a through <= 1.10.

📍 영향받는 시스템

ThemeREX Nuts plugin version <= 1.10

⚔️ 공격 벡터

Manipulate file inclusion parameters in HTTP requests to include and execute arbitrary local files on the server

🛡️ 대응 방법

Update ThemeREX Nuts plugin to version > 1.10 immediately; apply vendor security patches or remove the plugin if updates unavailable

🔧 검증 코드

명령어 실행 결과에서 버전이 1.10 이하면 취약함; 1.10 초과면 안전함; 플러그인이 없으면 'not found' 표시됨

Shell / Script 
test -d wp-content/plugins/nuts && cat wp-content/plugins/nuts/readme.txt | grep -E 'Stable tag:|Version:' | head -1 || find . -name 'nuts' -type d -path '*/plugins/*' 2>/dev/null | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP