CVE-2021-32708

受影响的软件包版本存在竞态条件漏洞。1.x 和 2.x 版本中使用的空白字符规范化会移除所有 Unicode 空白字符。在某些特定条件下，这可能允许恶意用户远程执行代码。 漏洞利用原理

Unicode 绕过：文件名 exploit\u202Ephp.txt 使用从右到左覆盖（RLO）字符来伪装文件扩展名。

恶意文件上传：该文件被上传并存储在服务器上。

Payload 执行：如果服务器允许在 uploads 目录中执行代码，攻击者可以远程运行 PHP payload。