CVE-2026-78839

CVE-2026-78839 描述 AppNitro MachForm v30 中存在任意文件上传漏洞，攻击者可通过上传特制的 .phar 文件来执行任意代码。 成功利用此漏洞需要满足两个实际前提条件。首先，攻击者必须找到一个已配置为允许上传 .phar 文件的现有表单，或者拥有足够的权限自行修改表单的允许扩展名。其次，攻击者必须能够确定上传文件所分配的 MD5 哈希值，以便检索并执行该文件。这既可以通过暴力破解文件名来实现（因为可以发送无限请求来枚举有效文件名），也可能通过次要漏洞被披露。 攻击向量 如果拥有表单创建权限的用户创建了一个启用文件上传功能且允许 .phar...