CVE-2023-33601: Vulnerability: found a upload vuln about plugins · Issue #I72D24 · phpok/phpok - Gitee.com

Vulnerability: found a upload vuln about plugins

评论 (8)

我这边不考虑管理员登录后的权限限制！
在目前的账号当中，超级管理员是拥有最高级别权限的！
你可以测试未超级管理员，并且未得到超级管理员授权的情况下尝试此操作！

您好，这个问题关键点不是权限问题， 是代码注入问题，可以执行恶意php文件

是的 权限会影响漏洞等级评分，只是漏洞一般是以单一漏洞来分析评定的，其他因素只是会影响漏洞利用难度，但该漏洞确实是存在。

那如何防范那些能在线编辑的呢？

修复建议：
1、针对上传插件：禁止本地上传插件；仅可上传官方检验后签名的安全插件。
2、针对后台可编辑文件：（1）校验文件目录, 过滤 ./字符串防止目录穿越；（2）二次认证需生成新的token并校验；（3）可编辑文件建议设置白名单为 js html 文件; (4)上传白名单 .js .html

难，这个实际操作就不可取了！
像WordPress里就有内置的插件市场，命名是千奇百怪的！

当然，我不否认，如果是给客户订制，封闭场景那是一种场景！就是交给客户的软件，他们的管理员也没有权限上传带脚本的文件！和你争了这个事，忽然考虑到用户定制的确得考虑下这种场景 感谢先

误判申诉

此处可能存在不合适展示的内容，页面不予展示。您可通过相关编辑功能自查并修改。

如您确认内容无涉及 不当用语 / 纯广告导流 / 暴力 / 低俗色情 / 侵权 / 盗版 / 虚假 / 无价值内容或违法国家有关法律法规的内容，可点击提交进行申诉，我们将尽快为您处理。

好吧，我把安全权限都检查一遍！
不过我的程序后台有一个要求：超级管理员拥有最高级别权限！
如果是超级管理员，是可以完全在线写PHP代码的！包括创建PHP文件~

登录 后才可以发表评论