国产情侣真实露脸在线,亚洲欧美成人综合久久久,中文毛片无遮挡高潮免费,亚洲人成影院在线无码按摩店

安全公告編號:CNTA-2017-0025

近日，國家信息安全漏洞共享平臺（CNVD）收錄了PHP存在任意文件上傳漏洞（CNVD-2017-04180）。遠(yuǎn)程攻擊者可利用前臺注冊功能上傳任意圖片木馬文件，獲得網(wǎng)站的控制權(quán)限。

一、漏洞情況分析

PHPCMS采用PHP5+MYSQL做為技術(shù)基礎(chǔ)進(jìn)行開發(fā)，是一款網(wǎng)站建站系統(tǒng)，該系統(tǒng)采用模塊化開發(fā)，支持多種分類方式，使用它可方便實(shí)現(xiàn)個(gè)性化網(wǎng)站的設(shè)計(jì)、開發(fā)與維護(hù)。

?PHPCMS V9.6 WAP模塊對前臺用戶上傳的文件擴(kuò)展名過濾不嚴(yán)，導(dǎo)致存在任意文件上傳漏洞，遠(yuǎn)程攻擊者通過注冊功能，使用#截?cái)嗬@過對文件擴(kuò)展名的驗(yàn)證，上傳一個(gè)偽造成圖片的腳本文件獲取網(wǎng)站的webshell。

CNVD對該漏洞的綜合評級為“高危”。

二、漏洞影響范圍

漏洞影響開啟WAP模塊且開放前臺注冊功能的PHPCMS V9.6版本。

三、漏洞修復(fù)建議

目前官方暫未發(fā)布任何補(bǔ)丁，CNVD建議用戶關(guān)注廠商主頁，及時(shí)等待更新。

針對開啟WAP模塊且開放前臺注冊功能用戶，臨時(shí)防護(hù)建議：

1.打開文件/phpcms/libs/classes/attachment.class.php

在第166行后加上如下代碼：

if(!preg_match("/($ext)/i", $filename)) continue:

2.使用第三方WEB防火墻（WAF）對網(wǎng)站進(jìn)行全面的安全防護(hù)。

附：參考鏈接：

http://0day5.com/archives/4368/?

http://www.cnvd.org.cn/flaw/show/CNVD-2017-04180