OpenCart 4.2.0.0 版本在其扩展程序安装器中存在目录遍历漏洞。该缺陷允许攻击者利用 ZIP 文件的解压机制，将文件放置到服务器上的任意位置。安装器在解压上传的 .zip 文件时，未对源自 ZIP 条目文件名的路径进行验证。攻击者可构造包含类似 ../ 序列的恶意扩展程序，以导航至预期目录之外。这可能使他们能够将文件（包括 PHP Webshell）写入 Web 根目录。如果管理员安装了此类扩展程序，可能导致以 OpenCart 服务器权限执行远程代码。Webshell 的创建进一步允许执行系统级命令。该漏洞已在 4.2.0.0 版本中得到确认，其他 4.x 版本也可能存在相同问题。目前尚无补丁可用，因为无法联系 OpenCart 进行协调。建议用户更新至最新版本，避免从不可信来源安装扩展程序，并在配置 OpenCart 时仅授予最小必要的权限。