📌 漏洞概述

Open eClass（又称 GUnet eClass）是一个广泛使用的开源学习管理系统（LMS），其主题导入功能中存在一个严重的不受限制的文件上传漏洞。

经过身份验证的管理员可以上传恶意 ZIP 文件，从而导致在服务器上远程执行代码（RCE）。

---

⚠️ 受影响版本

---

🛠️ 漏洞详情

• CVE ID：CVE-2026-22241
• 严重性：高危（CVSS 7.3）
• 类型：不受限制的文件上传（CWE-434）
• 攻击向量：管理面板中的主题导入功能
• 所需权限：管理员账户
• 影响：远程代码执行（RCE）

---

🔍 根本原因

该漏洞是由于主题导入过程中对上传的 ZIP 压缩包验证和清理不足所致。恶意文件（例如 PHP 网页木马）可能被写入 Web 可访问目录。

---

🛡️ 缓解与修复措施

• 立即升级到 Open eClass 4.2 或更高版本。
• 如非必要，请禁用主题导入功能。
• 限制管理员访问权限，并实施严格的文件上传验证。
• 监控服务器日志，留意可疑的主题上传活动。

---

📚 参考资料

• 官方安全公告
• NVD 条目
• TwelveSec 分析

---

⚠️ 法律免责声明

本仓库仅供教育和研究目的使用。
所提供的信息旨在帮助安全研究人员和系统管理员了解并修复该漏洞。

未经授权利用不属于您的系统是违法的。

---