CVE:CVE-2022-40797
CNNVD:CNNVD-202211-2413
Roxy Fileman是一套适用于.NET和PHP的开源的文件浏览器。
Roxy Fileman 1.4.6版本存在代码问题漏洞，该漏洞源于conf.json 中的默认 FORBIDDEN_UPLOADS 值仅阻止 .php、.php4 和 .php5 文件，攻击者利用该漏洞通可以通过 .phar 上传执行远程代码。
solution:Upgrade roxyfileman roxy_fileman to a higher version than 1.4.6,and avoid the version 1.4.6