亚洲中文字幕无码久久2017,久久AV无码精品人妻系列,国产男女无遮挡猛进猛出,亚洲s码欧洲m码国产AV

安全公告編號:CNTA-2017-0025

近日，國家信息安全漏洞共享平臺（CNVD）收錄了PHP存在任意文件上傳漏洞（CNVD-2017-04180）。遠(yuǎn)程攻擊者可利用前臺注冊功能上傳任意圖片木馬文件，獲得網(wǎng)站的控制權(quán)限。

一、漏洞情況分析

PHPCMS采用PHP5+MYSQL做為技術(shù)基礎(chǔ)進行開發(fā)，是一款網(wǎng)站建站系統(tǒng)，該系統(tǒng)采用模塊化開發(fā)，支持多種分類方式，使用它可方便實現(xiàn)個性化網(wǎng)站的設(shè)計、開發(fā)與維護。

?PHPCMS V9.6 WAP模塊對前臺用戶上傳的文件擴展名過濾不嚴(yán)，導(dǎo)致存在任意文件上傳漏洞，遠(yuǎn)程攻擊者通過注冊功能，使用#截斷繞過對文件擴展名的驗證，上傳一個偽造成圖片的腳本文件獲取網(wǎng)站的webshell。

CNVD對該漏洞的綜合評級為“高危”。

二、漏洞影響范圍

漏洞影響開啟WAP模塊且開放前臺注冊功能的PHPCMS V9.6版本。

三、漏洞修復(fù)建議

目前官方暫未發(fā)布任何補丁，CNVD建議用戶關(guān)注廠商主頁，及時等待更新。

針對開啟WAP模塊且開放前臺注冊功能用戶，臨時防護建議：

1.打開文件/phpcms/libs/classes/attachment.class.php

在第166行后加上如下代碼：

if(!preg_match("/($ext)/i", $filename)) continue:

2.使用第三方WEB防火墻（WAF）對網(wǎng)站進行全面的安全防護。

附：參考鏈接：

http://0day5.com/archives/4368/?

http://www.cnvd.org.cn/flaw/show/CNVD-2017-04180