来源：自学PHP网 时间：2015-04-17 10:16 作者： 阅读:次
[导读] 漏洞文件：phpcms modules member content phpif(isset($_POST[ 39;dosubmit 39;])) { 第34行 这里是处理提交过来的数据，无权限控制}else{ 第101行 判断本栏目是否允许投稿，这里加了各种各样的限制...
|
漏洞文件：
phpcms/modules/member/content.php
if(isset($_POST['dosubmit'])) { //第34行
//这里是处理提交过来的数据，无权限控制
}else{ //第101行
//判断本栏目是否允许投稿，这里加了各种各样的限制。。。
}
这里问题出现在当POST数据过来之后，不做权限限制，导致用户可以直接构造数据提交。
更可怕的是，没有配置投稿的栏目，默认不需要审核。也就是说，即使你的网站不允许投稿，我也可以投稿，而且无需审核直接通过。
栏目没有允许投稿  默认不需要审核
 但是构造表单直接发布文章了。
 修复方案：
1.权限控制部分，放到if外面。 2.全部栏目默认需要审核。
|
自学PHP网专注网站建设学习,PHP程序学习,平面设计学习，以及操作系统学习
京ICP备14009008号-1@版权所有www.zixuephp.com
网站声明：本站所有视频，教程都由网友上传，站长收集和分享给大家学习使用，如由牵扯版权问题请联系站长邮箱904561283@qq.com
