WPCOM Member <= 1.7.14 - Authenticated (Contributor+) Local File Inclusion via Shortcode 漏洞信息(CVE-2025-11920)

一、漏洞 CVE-2025-11920 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞信息

                                        # WPCOM Member 插件本地文件包含漏洞

## 概述

WPCOM Member 是一款用于 WordPress 的插件，其所有版本（包括 1.7.14）均存在本地文件包含（Local File Inclusion）漏洞。

## 影响版本

受影响版本：所有版本 <= 1.7.14

## 细节

漏洞通过插件某 shortcode 中的 `action` 参数触发。经过身份验证的攻击者（至少具备 Contributor 权限）可以利用该漏洞包含并执行服务器上的任意 `.php` 文件。

## 影响

攻击者可借此执行任意 PHP 代码，从而绕过访问控制、获取敏感数据，或在允许上传并包含 `.php` 文件的情况下实现远程代码执行。

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

WPCOM Member <= 1.7.14 - Authenticated (Contributor+) Local File Inclusion via Shortcode

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The WPCOM Member plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.7.14 via the action parameter in one of its shortcodes. This makes it possible for authenticated attackers, with Contributor-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

来源：美国国家漏洞数据库 NVD

漏洞类别

PHP程序中Include/Require语句包含文件控制不恰当(PHP远程文件包含)

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-11920 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2025-11920 的情报信息

标题： WPCOM Member <= 1.7.14 - Authenticated (Contributor+) Local File Inclusion via Shortcode -- 🔗来源链接

标签：
神龙速读
标题： class-member.php in wpcom-member/tags/1.7.13/includes – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： class-member.php in wpcom-member/tags/1.7.13/includes – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： class-member.php in wpcom-member/tags/1.7.13/includes – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Changeset 3385562 for wpcom-member/trunk – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2025-11920