关键信息 漏洞标题 标题: Command Injection via archive extraction allows remote attacker to execute arbitrary OS commands through photo upload parameter 影响的产品 产品: Certificate Generator System 项目仓库: https://github.com/GreatDevelopers/Certificate 组件/文件: https://github.com/GreatDevelopers/Certificate/blob/restructured/csv.php 漏洞代码片段 版本: 1.0 厂商: GreatDevelopers (GitHub) 漏洞概述 类型: OS Command Injection / Remote Code Execution CWE: CWE-78 (Improper Neutralization of Special Elements used in an OS Command) 攻击向量: 远程，无需身份验证 需要身份验证: 否 CVSS v3.1 (建议) 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 评分: 10.0 (严重) 技术根本原因 应用通过 函数直接使用不受信任的用户输入来调用OS级命令，且未使用 进行转义，也未进行存档内容或路径的验证，从而允许隐式shell解释。 影响 完整的远程命令执行 以Web用户权限进行服务器接管 任意文件覆盖（Zip Slip） 数据破坏或勒索软件部署 参考资料 OWASP Command Injection: https://owasp.org/www-community/attacks/Command_Injection CWE-78: https://cwe.mitre.org/data/definitions/78.html OWASP Zip Slip: https://snyk.io/research/zip-slip-vulnerability 项目: https://github.com/GreatDevelopers/Certificate