CVE-2025-14582 campcodes Online Student Enrollment System 1.0 任意文件上传漏洞

campcodes Online Student Enrollment System 1.0存在任意文件上传漏洞，攻击者可以通过/admin/index.php?page=user-profile页面，利用userphoto参数上传恶意文件，可能导致远程代码执行。该漏洞无需认证即可利用，CVSS评分为4.7，属于中危漏洞。攻击者可以利用此漏洞上传webshell，获得系统控制权限。

漏洞存在于/admin/index.php?page=user-profile页面的userphoto参数处理逻辑中。应用程序在处理用户头像上传时，未对上传文件的类型、内容和扩展名进行严格的验证。攻击者可以构造恶意请求，上传包含PHP代码的文件（如.php webshell），然后通过访问上传的文件路径执行任意代码。