CuppaCMS 在 2019-11-12 之前的文件管理器选项允许经过身份验证的攻击者在图像扩展名中上传恶意文件，并通过使用文件管理器提供的重命名功能的自定义请求能够将图像扩展名修改为 PHP，从而导致远程任意代码执行。

请关注厂商的修复版本，并及时更新到最新版本. 严格限制文件路径参数，不允许用户控制文件路径相关的参数，限定文件路径范围。