PHP session.upload_progress 文件名注入结合 LFI 实现 RCE 的 PoC 公开（CVE-2026-109619）

GitHub 上公开了 CVE-2026-109619 的 PoC 与利用脚本，该漏洞位于 PHP 的 session.upload_progress 处理器，rfc1867 上传处理会把客户端提供的文件名未经清洗写入会话文件，攻击者可通过 POST 中的 PHPSESSID 控制会话文件路径，再结合应用中的 LFI 实现免认证 RCE。