# Popup Builder < 4.0.7 - LFI到RCE

## 漏洞概述
Popup Builder WordPress插件在4.0.7之前的版本中，没有对`sgpb_type`参数进行验证和清理，直接用于`require`语句中，从而导致本地文件包含漏洞。此外，由于可以控制字符串的开头部分，该漏洞可以通过PHAR等封装器导致远程代码执行（RCE）漏洞。

## 影响版本
- Popup Builder WordPress插件 4.0.7 之前的版本

## 漏洞细节
- 未对 `sgpb_type` 参数进行验证和清理，导致本地文件包含漏洞。
- 可以控制字符串的开头部分，利用 PHAR 封装器等可能导致远程代码执行（RCE）漏洞。

## 影响
- 本地文件包含漏洞。
- 远程代码执行（RCE）漏洞可能导致恶意代码执行，对服务器安全造成威胁。
                                        

是否为 Web 类漏洞： 是

判断理由：