CVE-2026-4509PbootCMS 3.2.12 及以下版本中存在一处安全漏洞，该漏洞源于 `core/function/file.php` 文件上传组件的黑名单过滤机制不完整。攻击者可利用此缺陷，通过精心构造恶意文件并操纵上传参数，成功绕过服务器的安全检测，远程上传 Webshell 等恶意文件。利用该漏洞仅需低权限用户身份，可能导致服务器被完全控制，造成敏感数据泄露或系统瘫痪。
该漏洞的技术核心在于 PbootCMS 的文件上传处理逻辑存在设计缺陷。受影响组件 `core/function/file.php` 在验证用户上传的文件时，依赖于一个名为 `black` 的参数来定义禁止上传的文件扩展名列表。然而，该黑名单机制并不完整，未能涵盖所有可能导致远程代码执行的 Web 脚本后缀，例如 `.php5`, `.phtml`, `.shtml` 等，或者对文件名解析逻辑处理不当。攻击者利用此漏洞首先需要获得一个低权限的账户（如注册会员或普通编辑），以满足 CVSS 向量中的 PR:L 要求。随后，攻击者构造包含恶意 PHP 代码的文件，并将后缀修改为黑名单未涵盖的扩展名（如 `shell.php5`）。通过向服务器的上传接口发送该文件，服务器端验证逻辑未能识别出威胁，将文件成功存储在 Web 根目录下。最后，攻击者直接通过浏览器请求该文件 URL，触发服务器解析并执行恶意代码，从而获取服务器权限。