CVE-2025-14068WPNakama是一款广受欢迎的WordPress社交游戏插件，为网站提供游戏化和社区功能。然而，安全研究人员发现该插件存在严重的安全漏洞。在0.6.3及之前的所有版本中，由于对用户输入的'order_by'参数缺乏充分的输入验证和转义处理，且数据库查询语句未使用参数化查询或预编译语句，攻击者可以通过构造恶意的SQL代码片段注入到数据库查询中。未经身份验证的远程攻击者可以利用此漏洞执行任意SQL查询，进而可能窃取数据库中的敏感信息，包括用户凭据、个人数据、业务数据等。该漏洞影响范围广泛，使用该插件的所有WordPress网站都面临风险。
漏洞根源在于WPNakama插件的文件处理机制。攻击者通过精心构造的文件路径参数，利用路径遍历技术（如../或%2e%2e/）来访问和执行任意PHP文件。核心问题在于应用未能正确验证和清理用户输入的路径参数，允许恶意路径突破预期的目录限制。当服务器处理这些恶意请求时，会将攻击者指定的文件作为PHP代码执行，从而实现远程代码执行。攻击者可以上传包含恶意代码的文件（如图片文件头部嵌入PHP后门），然后通过该漏洞触发执行，完全控制受影响的服务器。