CVE-2025-14502WordPress的News and Blog Designer Bundle插件存在严重的本地文件包含漏洞。攻击者可以通过构造恶意的template参数值来包含服务器上的任意.php文件，从而执行任意PHP代码。该漏洞影响1.1及以下所有版本，无需认证即可利用。由于可以执行任意PHP代码，攻击者可以绕过访问控制、获取敏感数据或在服务器上执行命令，完全控制受影响的系统。此漏洞评分高达9.8，属于严重级别漏洞，对使用该插件的WordPress网站构成重大威胁。
该漏洞源于News and Blog Designer Bundle插件的class-nbdb-ajax.php文件中对template参数的处理不当。攻击者可以通过HTTP请求直接向服务器发送包含路径遍历字符的payload（如../），结合目标系统的已知文件路径，实现本地文件包含（LFI）攻击。由于插件未对用户输入进行充分的过滤和验证，攻击者可以指定任意.php文件的绝对路径或相对路径。一旦成功包含恶意PHP文件，攻击者即可在服务器上执行任意代码，实现远程代码执行（RCE）。此类漏洞常被用于绕过WAF、读取敏感配置文件（如wp-config.php）以及获取数据库凭证等。