CVE-2026-12227

总结

WordPress 的 Visual Composer Website Builder 插件在所有版本（包括 45.16.0）中，通过 `vcv-template` 参数存在本地文件包含漏洞。这使得未经身份验证的攻击者能够包含并执行服务器上的任意文件，从而允许执行这些文件中的任何 PHP 代码。此漏洞可用于绕过访问控制、获取敏感数据，或在可以上传并包含图像及其他“安全”文件类型的情况下实现代码执行。

来源

• CVE-2026-12227-visualcomposer-lfi-pocPoC

  针对 CVE-2026-12227 的 Docker 验证实验环境与 safe-oracle PoC，该漏洞是 Visual Composer 中通过 vcv-template 实现的未认证 LFI，并附带一个 nuclei 检测模板。

• CVE-2026-12227PoC

  Python 3 PoC 和扫描器，用于 CVE-2026-12227，这是 WordPress Visual Composer Website Builder 中通过 vcv-template 参数实现的未认证本地文件包含漏洞。