禅道官网发布了12.4.3版本更新公告，修复了一个文件上传的漏洞。恶意攻击者（需要登陆后台的任意⽤用户）可以通过fopen/fread/fwrite方法结合file、http、ftp等协议，读取或上传任意敏感文件，成功利用漏洞可获得目标系统中敏感文件及系统管理权限。
漏洞编号：
CNVD-C-2020-121325
漏洞等级：高危
受影响的版本：
禅道开源版<=12.4.2
通过版本比对，问题出在module/client/ext/model/xuanxuan.php:14 的 downloadZipPackage 函数中：
没有对后缀名进行限制，补丁则进行了白名单处理
所以getshell 的一个方法之一就是直接远程download一个php文件即可shell。
ref：
https://mp.weixin.qq.com/s/d-dtcUi2yLKsyXfPuyUF8A