CVE-2021-32708

Les versions affectées de ce paquet sont vulnérables à une condition de course. La normalisation des espaces utilisée dans les versions 1.x et 2.x supprime tous les espaces unicode. Sous certaines conditions spécifiques, cela pourrait potentiellement permettre à un utilisateur malveillant d'exécuter du code à distance. Comment fonctionne l'exploit

Contournement Unicode : Le nom de fichier exploit\u202Ephp.txt utilise le caractère de remplacement droite-à-gauche (RLO) pour dissimuler l'extension du fichier.

Téléchargement de fichier malveillant : Le fichier est téléchargé et stocké sur le serveur.

Exécution de la charge utile : Si le serveur autorise l'exécution de code dans le répertoire de téléchargement, l'attaquant peut exécuter la charge utile PHP à distance.