简要描述：

过滤不严格 在某些条件下 可直接上传webshell

详细说明：

拿最新版本的phpcms本地测试了一下，站点管理 附件类型直接添加php与php4，上传后文件名会变为 xxx._php xxx._php4. 解析不成功。

而添加php5时 文件后缀没有发生变化。

apache的某些环境配置可以直接解析了。

漏洞证明：