📋 漏洞概述

OpenCATS 0.9.4 求职申请模块存在未授权远程代码执行漏洞，攻击者可上传恶意 PHP 文件并执行任意命令。

📋 基础信息

🔬 漏洞根因

漏洞源于求职申请功能中附件上传逻辑缺失类型校验与内容安全检测，仅依赖文件名后缀（推测），且上传目录被配置为 Web 可访问。攻击者上传的 PHP 文件被直接存储，未进行重命名或沙箱隔离，导致可通过 HTTP 直接访问并触发解析执行。

🎯 攻击场景

1. 攻击者访问任意公开求职页面，找到简历附件上传表单（无需认证）。 2. 将恶意 PHP 文件伪装成 resume.pdf.php 或类似双重后缀文件，绕过前端简单的 MIME 类型检查（推测）。 3. 提交申请表单，服务器将恶意文件保存到 /upload 或类似目录。 4. 通过 GET/POST 请求访问上传文件的 URL，PHP 代码在服务器上解析执行。 5. 攻击者执行系统命令（如 id, whoami, 反弹 shell），完全控制 OpenCATS 服务器。

💥 漏洞影响

远程未授权攻击者可执行任意 PHP 代码及系统命令，导致服务器完全失陷，可窃取数据库中的敏感客户/候选人信息、修改网站内容、横向渗透内网、部署持久化后门。影响范围涵盖所有运行 OpenCATS 0.9.4 的公开或内部应用服务器。

🛡️ 修复建议

升级至 OpenCATS 最新版本（非 0.9.4）；临时缓解措施：在 Web 服务器配置中禁止 upload 目录执行脚本（如 Nginx: location ~ /upload/.*\.php$ { deny all; }），并通过 .htaccess 移除 PHP 引擎支持；同时加入文件内容白名单校验（如仅允许 PDF/Word 文件且重命名为无扩展名存储）。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2021-47936
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-47936
• 原始来源（NVD-Latest）

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-05-12 08:07 | 来源: NVD-Latest