近日廣東省網(wǎng)絡(luò)安全應(yīng)急響應(yīng)中心公布了ThinkPHP框架的遠(yuǎn)程代碼執(zhí)行漏洞公告
當(dāng) ThinkPHP 開啟了多語言功能時,攻擊者可以通過lang參數(shù)和目錄穿越實現(xiàn)文件包含,當(dāng)存在其他擴(kuò)展模塊如 pear 擴(kuò)展時,攻擊者可進(jìn)一步利用文件包含實現(xiàn)遠(yuǎn)程代碼執(zhí)行。
漏洞名稱:ThinkPHP 遠(yuǎn)程代碼執(zhí)行
漏洞漏洞編號:QVD-2022-46174
影響范圍:6.0.14以下版本 5.1.42以下版本
危害等級:高
該漏洞對于5.1及5.0版本的影響較大,因為6.0版本默認(rèn)不會開啟多語言檢測。
官方于10月26日已經(jīng)發(fā)布安全更新版本V6.0.14
以及V5.1.42
(參見ThinkPHP發(fā)布6.1.0&6.0.14版本——安全更新 ),請開發(fā)者盡快升級到官方最新版本并做好服務(wù)器安全訪問機(jī)制!