发布日期：2026-03-12
更新日期：2026-06-15

受影响系统：

ProjectSend ProjectSend < r1945

描述：

---

CVE(CAN) ID: CVE-2026-4044

ProjectSend（cFTP）是ProjectSend开源的一套基于PHP和MySQL的自托管应用程序。
ProjectSend（cFTP） r1945及之前版本存在路径遍历漏洞，该漏洞源于组件后端未过滤files[]中的../路径穿越字符，传入恶意路径后，realpath解析跳出站点目录，远程攻击者可利用该漏洞删除服务器任意文件。

<**>

建议：

---

厂商补丁：

ProjectSend
-----------
厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://drive.google.com/file/d/1BOWm9FvhmM90oP91rOWpI4GoWdbI06wg/view?usp=sharing

浏览次数：61
严重程度：0（网友投票）