CVE-2021-24499

大规模利用 CVE-2021-24499，未经身份验证的上传导致 Workreap 主题中的远程代码执行。

AJAX 操作 workreap_award_temp_file_uploader 和 workreap_temp_file_uploader 未执行 nonce 检查，也未以任何其他方式验证请求是否来自有效用户。这些端点允许将任意文件上传到 uploads/workreap-temp 目录。上传的文件既未经过净化也未进行验证，允许未经身份验证的访客上传可执行代码，例如 php 脚本。