“帮助”子系统没有充分验证其源文件的位置/来源。如果与基于web的上传工具结合使用，则用户可以执行任意代码。
使用CiviCRM的标准上传工具，利用此漏洞需要“管理CiviCRM”权限。然而，其他上传工具（如CMS插件）可能会提供其他攻击载体。
受影响的版本
CiviCRM 5.56.1版（及更早版本）、5.51.3版（及更低版本）
固定版本
CiviCRM版本5.57.0、5.56.2、5.51.4（ESR）
信用
艾琳·麦克诺顿和里奇·洛特发现了这个问题。Rich Lott编写了主补丁。谢默斯·李（Seamus Lee）和蒂姆·奥顿（Tim Otten）提供了反馈、修改和回传。
