|
DedeCMS最新版(20180109)任意用户密码修改 2018年01月09日，Dedecms官方更新了DedeCMS V5.7 SP2正式版，后续在10日有网友爆出其存在任意用户密码重置漏洞。 攻击难度：低。 危害程度：高。 官方修复情况如下： 目前暂未发布升级补丁 文章目录 什么是DedeCMS？ 影响的版本 技术分析 漏洞验证 防护方案 什么是DedeCMS？ 织梦内容管理系统(DeDeCMS) 以简单、实用、开源而闻名，是国内最知名的PHP开源网站管理系统，也是使用用户最多的PHP类CMS系统，在经历多年的发展，目前的版本无论在功能，还是在易用性方面，都有了长足的发展和进步。广泛应用于中小型企业门户网站，个人网站，企业和学习网站建设，在中国，DedeCMS应该属于最受人们喜爱的CMS系统。 影响的版本 2018年01月09日之前的所有版本。 技术分析 此漏洞点出现在忘记密码功能处.文件/member/resetpassword.php: 在找回密码时，当$dopost = safequestion时，通过传入的member_id查询出对应id用户的安全问题和答案信息，当我们传入的问题和答案不为空，而且等于之前设置的问题和答案是就进入sn()函数。 这里如果用户设置了问题和答案，我们...
 内容已隐藏,请关注公众号输入验证码查看
本帖支持关注公众号查看
【无套路 无套路 无套路 扫描二维码关注公众号发送【验证码】收到验证码 在上面输入点击提交查看即可显示隐藏内容】
| 
发表于 2019-4-5 14:07:00
