CVE-2025-58937 Tacticool WordPress主题本地文件包含漏洞

CVE-2025-58937是axiomthemes Tacticool WordPress主题中的一个高危本地文件包含漏洞，CVSS评分8.1。该漏洞源于主题代码对文件包含路径的验证不完整，使得攻击者能够通过构造恶意请求读取服务器上的任意文件，包括敏感配置文件、凭据文件等。漏洞影响版本从初始版本到1.0.13，攻击者无需认证即可利用此漏洞。

该本地文件包含漏洞存在于Tacticool主题的文件处理逻辑中。攻击者可通过构造特定的URL参数，利用不安全的include或require语句包含任意本地文件。漏洞的关键在于代码未对用户输入进行充分的路径遍历检查，攻击者可使用../等目录遍历序列访问系统敏感文件。