CVE-2025-13886：CWE-98 PHP程序中Include/Require语句文件名控制不当（PHP远程文件包含）于 cvedovini LT Unleashed

严重性：高 类型：漏洞

CVE-2025-13886

WordPress的LT Unleashed插件在所有版本（包括1.1.1及之前版本）中，由于路径清理不足，通过book短码中的template参数存在本地文件包含漏洞。这使得拥有贡献者级别及以上权限的认证攻击者能够包含并执行服务器上的任意文件，从而执行这些文件中的任何PHP代码。此漏洞可用于绕过访问控制、获取敏感数据，或在能够包含诸如wp-config.php等文件的情况下实现代码执行。

技术详情

数据版本： 5.2 分配者简称： Wordfence 预留日期： 2025-12-02T14:39:54.615Z Cvss 版本： 3.1 状态： 已发布

威胁ID： 693b7fd3650da22753e7b18e 添加到数据库时间： 2025年12月12日，凌晨2:37:07 最后更新时间： 2025年12月12日，凌晨2:37:18 浏览量： 1

来源： CVE Database V5 发布日期： 2025年12月12日，星期五

社区评论

暂无评论。众包缓解策略、分享情报上下文，并为最有帮助的回应投票。登录以发表您的看法，帮助防御者保持领先。

相关威胁

• CVE-2025-13839: CWE-79 网页生成期间输入中和不当（跨站脚本）于 jenyay LJUsers（中危漏洞，2025年12月12日，星期五）
• CVE-2025-13665: CWE-427 Altera Quartus Prime Standard 中的不受控搜索路径元素（中危漏洞，2025年12月12日，星期五）
• CVE-2025-10451: CWE-787: Insyde Software InsydeH2O 中的越界写入（高危漏洞，2025年12月12日，星期五）
• CVE-2025-67779: (CWE-502) 不可信数据反序列化, (CWE-400) Meta react-server-dom-parcel 中的不受控资源消耗（高危漏洞，2025年12月11日，星期四）
• CVE-2025-67780: CWE-306 SpaceX Starlink Dish 中关键功能缺失身份验证（中危漏洞，2025年12月11日，星期四）

操作

使用AI分析： 请登录控制台以使用AI分析功能。

外部链接

• NVD 数据库
• MITRE CVE
• 参考链接 1
• 参考链接 2
• 参考链接 3
• 参考链接 4
• 在Google上搜索

需要增强功能？请联系 root@offseq.com 获取专业版访问权限，享受改进的分析功能和更高的速率限制。