[0day-rubbish] Maian Pal 2.1 产品图片上传功能未设置文件扩展名白名单，导致 PHP 后门及 www-data 用户 ID 33 的代码执行漏洞（影响版本 7.2，PR:H）
由 disclosure 通过 Fulldisclosure 于 10 月 15 日发布：Rubbish Research Team 公开披露了 Maian Pal 2.1 中的漏洞。Maian Pal 是由英国 Maian Media 开发的自托管 PHP 购物车脚本，面向 PayPal 结账功能，以商业闭源归档形式分发。该漏洞已在三个独立复现中针对该版本的真实安装进行了端到端验证。类型：无限制上传具有危险类型的文件（CWE-434 为主，同时涉及 CWE-94 和 CWE-693……）
