OpenCart 버전 4.2.0.0에는 확장 프로그램 설치 프로그램에 디렉토리 순회 취약점이 있습니다. 이 결함은 공격자가 zip 파일 추출 방식을 악용하여 서버의 어느 곳에든 파일을 배치할 수 있도록 합니다. 설치 프로그램은 zip 항목 파일 이름에서 파생된 경로를 검증하지 않고 업로드된 .zip 파일을 추출합니다. 공격자는 ../와 같은 시퀀스를 사용하여 의도된 디렉토리 외부로 이동하는 악성 확장 프로그램을 만들 수 있습니다. 이를 통해 웹 루트에 PHP 웹 쉘을 포함한 파일을 쓸 수 있습니다. 관리자가 이러한 확장 프로그램을 설치하면 OpenCart 서버 권한으로 원격 코드 실행이 발생할 수 있습니다. 웹 쉘 생성은 시스템 수준 명령 실행을 더욱 허용합니다. 이 취약점은 버전 4.2.0.0에서 확인되었으며, 다른 4.x 버전도 취약할 수 있습니다. OpenCart와 연락이 닿지 않아 패치를 조정할 수 없으므로 현재 패치는 사용할 수 없습니다. 사용자에게는 최신 버전으로 업데이트하고 신뢰할 수 없는 출처의 확장 프로그램 설치를 피하는 동시에 OpenCart를 최소한의 필요한 권한으로 구성할 것을 권장합니다.