CVE-2026-33691OWASP Core Rule Set (CRS) 在 3.3.9 和 4.25.0 之前的版本中存在一处文件上传过滤绕过漏洞。由于受影响的安全规则未对文件名中的空白字符进行规范化处理，攻击者可以在文件扩展名前插入空格（例如 photo. php），从而绕过 WAF 的文件类型检测。这使得攻击者能够上传并执行具有危险扩展名（如 .php, .jsp）的 WebShell，对目标系统的完整性构成严重威胁。
该漏洞源于 OWASP CRS 处理文件上传请求时的逻辑缺陷。WAF 在检查上传文件的扩展名时，利用正则表达式拦截 .php、.jsp 等可执行脚本。然而，受影响版本的规则引擎未在执行正则匹配前对文件名进行空白字符规范化处理。攻击者可构造包含空格的恶意文件名（如 "shell. php"），导致正则匹配失败，从而绕过 WAF 检测。后端 Web 服务器在保存文件时通常会自动去除扩展名前的空格，最终保存为可执行的 "shell.php"。攻击者随后可通过 URL 访问该文件，在服务器端执行任意代码，完全控制受影响的应用程序。