phpwind
管理员
管理员
  • 发帖数340
  • 铜币8598两
  • 威望6555点
  • 贡献3659点
  • 注册日期2006-03-23
  • 最后登录2017-02-13
  • 社区明星
阅读:8502回复:10

[漏洞补丁]phpwind 9.X 个人空间背景设置xss漏洞修复方案 (20150108)

楼主#
更多 发布于:2015-01-08 11:25
问题描述:
       可以在修改个人空间背景时,提交非法的内容

修复文件
upload/src/service/space/dm/PwSpaceDm.php
line: 38

public function setBackImage($image, $repeat, $fixed, $align) {
    //$array = array('image'=>$image, 'repeat'=>$repeat, 'fixed'=>$fixed, 'align'=>$align);
    $array = array($image, $repeat, $fixed, $align);
    $this->_data['back_image'] = serialize($array);
    return $this;
}
修改为:
public function setBackImage($image, $repeat, $fixed, $align) {
    //$array = array('image'=>$image, 'repeat'=>$repeat, 'fixed'=>$fixed, 'align'=>$align);
    $image = htmlentities($image);              
    $repeat = htmlentities($repeat);
    $fixed = htmlentities($fixed);
    $align = htmlentities($align);
    $array = array($image, $repeat, $fixed, $align);
    $this->_data['back_image'] = serialize($array);
    return $this;
}
upload/src/service/space/bo/PwSpaceBo.php
line: 95
找到
$this->space['back_image'] = array($image, $repeat, $fixed, $align);
$this->space['backbround'] = ''; 
if (empty($image)) return;
$image = Pw::getPath(''). $image;
在以上代码之下增加,下列代码
$image = htmlentities($image);
$repeat = htmlentities($repeat);
$fixed = htmlentities($fixed);
$align = htmlentities($align);
[phpwind于2015-01-08 11:58编辑了帖子]
喜欢2 评分0

最新喜欢:

沙口集沙口集 一草万木一草万木
PHPWind官方稽查管理人员!
mycctve
PW moblie内测组
PW moblie内测组
  • 发帖数113
  • 铜币257两
  • 威望11点
  • 贡献0点
  • 注册日期2011-05-13
  • 最后登录2015-06-09
沙发#
发布于:2015-01-08 12:15
有更好的吗, 如直接打包一个文件 覆盖就好了
回复(0) 喜欢(0)     评分
alisoo
PW moblie内测组
PW moblie内测组
  • 发帖数417
  • 铜币1715两
  • 威望50点
  • 贡献0点
  • 注册日期2011-12-29
  • 最后登录2016-03-18
  • 社区居民
  • 忠实会员
  • 最爱沙发
板凳#
发布于:2015-01-08 15:41
收到!
0.0
回复(0) 喜欢(0)     评分
yuanjingchina
禁止发言
禁止发言
  • 发帖数1046
  • 铜币1613两
  • 威望8点
  • 贡献0点
  • 注册日期2012-12-22
  • 最后登录2015-11-30
  • 最爱沙发
  • 社区居民
  • 忠实会员
3楼#
发布于:2015-01-08 20:06
用户被禁言,该主题自动屏蔽!
回复(0) 喜欢(0)     评分
景团网络
二星会员
二星会员
  • 发帖数66
  • 铜币96两
  • 威望15点
  • 贡献0点
  • 注册日期2014-08-26
  • 最后登录2016-03-13
  • 社区居民
  • 忠实会员
4楼#
发布于:2015-01-09 09:19
管理员呀亲!还要我们手动修改?  你不知道偶们都很懒的..........  
 以后有补丁,能不能直接整合到官方下载地址的安装包里?


                                                                           by  phpwind众站长
回复(0) 喜欢(0)     评分
月明星稀稀
荣誉会员
荣誉会员
  • 发帖数3285
  • 铜币96070两
  • 威望1977点
  • 贡献99634点
  • 注册日期2014-09-23
  • 最后登录2016-11-09
5楼#
发布于:2015-01-09 10:07
之后发布新版本的时候会一并合并进去,先暂时手动改下吧~~
需要插件与模板就到http://market.aliyun.com/products/?tag=phpwind
回复(0) 喜欢(0)     评分
农夫城市
四星会员
四星会员
  • 发帖数1228
  • 铜币1381两
  • 威望644点
  • 贡献0点
  • 注册日期2008-09-05
  • 最后登录2016-10-23
6楼#
发布于:2015-01-10 14:06
好久没来了,不知道pw发展得如何了。
回复(0) 喜欢(0)     评分
zjjbbs
初来乍到
初来乍到
  • 发帖数2
  • 铜币104两
  • 威望6点
  • 贡献0点
  • 注册日期2011-04-03
  • 最后登录2015-10-21
  • 社区居民
7楼#
发布于:2015-01-14 17:33
支持phpwind
回复(0) 喜欢(0)     评分
vicowm
新手上路
新手上路
  • 发帖数1
  • 铜币1两
  • 威望0点
  • 贡献0点
  • 注册日期2015-01-19
  • 最后登录2015-08-20
  • 社区居民
8楼#
发布于:2015-02-10 20:07
支持 不错
回复(0) 喜欢(0)     评分
szbegin
新手上路
新手上路
  • 发帖数53
  • 铜币147两
  • 威望30点
  • 贡献0点
  • 注册日期2015-02-03
  • 最后登录2015-06-16
9楼#
发布于:2015-02-11 17:43
辛苦了!
回复(0) 喜欢(0)     评分
一草万木
三星会员
三星会员
  • 发帖数647
  • 铜币1136两
  • 威望96点
  • 贡献0点
  • 注册日期2015-01-27
  • 最后登录2016-10-08
  • 社区居民
  • 忠实会员
  • 最爱沙发
10楼#
发布于:2015-02-17 10:34
细节漏洞啊,官方一定要重视
PHPWind团队需要继续努力!!!
回复(0) 喜欢(0)     评分
游客

返回顶部