WordPress LFI转RCE链式条件解析

WordPress 的本地文件包含（LFI）不能直接等同于远程代码执行（RCE）。在资料描述的这条链中，攻击者首先要让模板解析过程包含到预期之外的本地 PHP 文件；随后，还必须找到能将文件包含转化为可控执行的环境条件。风险判断的关键，是把这两层分别核实，而不是凭一个异常响应推断整条链已经打通。

第一层取决于模板路径如何生成。资料指出，相关逻辑会根据 pagename 等值拼接以 page- 开头、以 .php 结尾的模板名。如果路径控制不充分，遍历片段可能改变最终指向。但遍历路径中的目录组成部分仍须真实存在，因此主题内是否有符合条件的顶层目录，会影响这条特定路径能否成立。响应发生变化也只是线索；需要排除正常模板选择等原因，才能判断是否存在越界包含。

第二层是有条件的利用链。资料提到的 pearcmd.php 路径，要求服务器存在相应 PEAR 组件、该文件可被包含，相关 PHP 配置允许参数按预期传入；若验证方式涉及写入，还要满足目标目录的权限条件。任一环节不成立，都不能把“发现 LFI”写成“已实现 RCE”。反过来，暂未确认 RCE 条件，也不意味着 LFI 可以搁置：越界包含本身仍需评估可能触及的本地文件及其影响。

在授权评估中，报告宜分开记录模板路径是否越界、目标文件是否可达、链式前置条件是否具备，以及是否实际验证了执行，并保留可复核的响应差异。资料给出的漏洞编号和版本范围只能作为核验线索，正式定性仍应以官方公告与权威漏洞库为准。这样划清证据边界，才能避免低估风险，也避免把推测写成已证实的执行能力。