PHPCMS V9 本地包含漏洞

一个乌云审不过的漏洞。。大爷很生气，后果很严重。以后不会在乌云发布任何漏洞

当包含的文件不存在时，会提示：

当填写的文件名存在：

文件名可控。路径可控，这不是本地包含是什么？？乌云审帖的孩子，说说看。。。