CVE-2026-25125 in October
요약
\~에 의해 VulDB • 2026. 05. 31.
October은 콘텐츠 관리 시스템(CMS) 및 웹 플랫폼입니다. 3.7.14 및 4.1.10 이전 버전에는 INI 설정 파서에서 서버 측 정보 유출 취약점이 존재합니다. PHP의 parse_ini_string() 함수는 환경 변수 보간을 위해 ${} 구문을 지원하므로, 편집자(Editor) 권한을 가진 공격자가 CMS 페이지 설정 필드에 ${APP_KEY} 또는 ${DB_PASSWORD}와 같은 패턴을 주입하여 민감한 환경 변수가 해석되고 템플릿에 저장된 후, 페이지가 다시 열릴 때 공격자에게 반환되도록 할 수 있습니다. 이를 통해 자격 증명 및 비밀 키(데이터베이스 비밀번호, AWS 키, 애플리케이션 키 등)가 유출될 수 있으며, 이는 데이터베이스 접근이나 쿠키 위조와 같은 추가 공격으로 이어질 가능성이 있습니다. 이 취약점은 cms.safe_mode가 활성화된 경우에만 관련이 있으며, 그렇지 않은 경우에는 직접적인 PHP 주입이 이미 가능하기 때문입니다. 이 문제는 버전 3.7.14 및 4.1.10에서 수정되었습니다. 즉시 업그레이드가 불가능한 사용자는 편집자 도구 접근 권한을 완전히 신뢰할 수 있는 관리자만 사용할 수 있도록 제한하고, 데이터베이스 및 클라우드 서비스 자격 증명이 웹 서버 네트워크에서 접근 불가능하도록 보장함으로써 이 문제를 우회할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.