PHP Session 上传进度功能存在文件名清理缺陷

PHP 官方 GitHub 报告显示，Session 上传进度功能未对文件名进行清理，若网站存在本地文件包含（LFI）漏洞，可能导致远程代码执行（RCE）。该风险触发条件包括开启 session.upload_progress.enabled 并关闭 session.upload_progress.cleanup。漏洞在 PHP 8.5.12 版本及 Fedora 44 系统环境下被指出。

—— GitHub