CVE-2025-14502
严重已发布
新闻与博客设计者套件 <= 1.1 - 未认证本地文件包含
- 已发布
- 2026年1月14日
- 已更新
- 2026年4月8日
- 分配 CNA
- Wordfence
- 观察到的证据
- 2026年8月15日
初级CVSS
9.8/ 10严重
正在加载漏洞目录
新闻与博客设计者套件 <= 1.1 - 未认证本地文件包含
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H低 · 未来 30 天
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
WordPress 的 News and Blog Designer Bundle 插件在包括 1.1 在内的所有版本中，均存在通过 template 参数导致的本地文件包含漏洞。这使得未经身份验证的攻击者能够在服务器上包含并执行任意 .php 文件，从而执行这些文件中的任何 PHP 代码。在可以上传并包含 .php 文件类型的情况下，该漏洞可被利用来绕过访问控制、获取敏感数据或实现代码执行。
WordPress的News and Blog Designer Bundle插件在1.1及之前所有版本中，存在通过template参数导致的本地文件包含漏洞。该漏洞使得未经身份验证的攻击者能够包含并执行服务器上的任意.php文件，从而运行这些文件中的任何PHP代码。在允许上传和包含.php文件类型的场景下，攻击者可利用此漏洞绕过访问控制、获取敏感数据或实现代码执行。
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。