漏洞概述
PHPGurukul News Portal 1.0 中存在一个任意文件上传漏洞，影响其 Profile Pic Handler 组件。攻击者可远程利用该漏洞上传恶意文件，可能导致服务器被控制。目前该漏洞的利用代码已公开，存在被实际攻击的风险。
漏洞详情
- CVE 编号：CVE-2026-1424
- 漏洞类型：任意文件上传（CWE-434）、权限控制不当（CWE-284）
- CVSS 评分：CVSS v3.1 基础分 4.7（中危），CVSS v4.0 基础分 5.1（中危）
- 影响版本：PHPGurukul News Portal 1.0
影响范围
该漏洞影响 PHPGurukul News Portal 1.0 版本中的 Profile Pic Handler 功能模块。任何部署了该版本系统的站点，若未进行安全加固，均可能受到攻击。
风险分析
由于漏洞允许远程攻击者在具备高权限账户（如普通用户登录后）的情况下上传任意文件（如 Web Shell），可能导致服务器被完全控制、数据泄露或服务中断。尽管需要一定权限（PR:H），但结合其他漏洞或社会工程手段，攻击门槛较低。且目前已有公开的 PoC，增加了被大规模利用的可能性。
修复建议
- 建议用户立即停止使用 PHPGurukul News Portal 1.0，或联系开发者获取安全更新版本。
- 临时缓解措施：在 Web 服务器层面限制 Profile Pic 上传目录的执行权限（如禁止 .php、.phtml 等脚本执行），并对上传文件类型、扩展名及内容进行严格校验。
