Guardian Language-System Unauthenticated OS Command Injection via id Parameter in transcribe_amazon.php 漏洞概述 Guardian language-system 存在一个未认证的操作系统命令注入漏洞。攻击者可以通过构造恶意的 参数，直接调用 PHP 的 函数执行任意操作系统命令。 影响范围 受影响版本： 具体受影响版本范围未定义。 修复方案 目前页面未提供具体的修复方案。建议用户尽快升级到不受影响的版本，并对输入进行严格的过滤和验证。 漏洞详情 CVE: CVE-2026-34115 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 9.3 CVSS V4 Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 描述 Guardian language-system 在 文件中，将 GET 参数直接传入 PHP 调用（第 15 行），且未进行任何过滤。具体代码如下： 无需认证，远程攻击者可以附加 shell 元字符来执行任意操作系统命令。