CVE-2025-13641
NextGEN Gallery是WordPress的一个流行图库插件，在3.59.12及之前版本中存在严重的本地文件包含漏洞。漏洞源于插件在处理shortcode的template参数时缺乏充分的路径验证机制，允许攻击者通过提供绝对路径来包含服务器上的任意PHP文件。
该漏洞源于插件未对用户输入的模板路径进行有效过滤。攻击者可通过构造包含绝对路径的shortcode参数来绕过安全限制，成功利用此漏洞需要认证身份，但仅需Contributor级别权限即可。