CVE-2026-9290

CVE-2026-9290 — WP User Manager LFI 到 RCE 漏洞利用 通过 'tab' 参数实现未授权路径遍历 → 本地文件包含 概述 CVE-2026-9290 是 WordPress 插件 WP User Manager – User Profile Builder & Membership（≤ 2.9.17）中存在的一个高严重性（CVSS 7.5）未授权本地文件包含（LFI）漏洞。 wpumgetactiveprofiletab 函数将 tab 查询参数直接传递给 Gamajo 模板加载器，未进行任何白名单校验。tab 值中的路径遍历序列使未授权攻击者能够通...