OpenCart バージョン 4.2.0.0 には、拡張機能インストーラーにディレクトリトラバーサル脆弱性が存在します。この欠陥により、攻撃者は zip ファイルの抽出方法を悪用して、サーバー上の任意の場所にファイルを配置できます。インストーラーは、zip エントリのファイル名から派生したパスを検証せずに、アップロードされた .zip ファイルを抽出します。攻撃者は、../ のようなシーケンスを使用して、意図したディレクトリの外に移動する悪意のある拡張機能を細工できます。これにより、Webroot に PHP Web シェルを含むファイルを書き込むことが可能になります。管理者がそのような拡張機能をインストールすると、OpenCart のサーバー権限でリモートコード実行につながる可能性があります。Web シェルの作成は、さらにシステムレベルのコマンド実行を可能にします。この脆弱性はバージョン 4.2.0.0 で確認されており、他の 4.x バージョンも脆弱である可能性があります。OpenCart との連携が取れなかったため、現在パッチは利用できません。ユーザーは、最新バージョンに更新し、信頼できないソースからの拡張機能のインストールを避け、OpenCart を最小限必要な権限で設定するようにアドバイスされています。