dedecms v5.7漏洞问题

abc0824 2015-10-27 08:15:00

我的织梦cms是当前最新版本。这个漏洞一直存在，织梦一直未修复。请问怎么解决啊。谢谢！

...全文

373 4 打赏收藏转发到动态举报

写回复

4 条回复

切换为时间正序

请发表友善的回复…

发表回复

xuzuning 2015-11-02

打赏
举报

回复

引用 2 楼 abc0824 的回复:

是在安全联盟中检测出来的

一个用于上传的 flash 也算是漏洞的话，你么你也就不必做网站了说什么加速乐已经可以防御该漏洞纯属产品广告宣传

清风闲客 2015-11-02

打赏
举报

回复

织梦cms 是最垃圾的CMS系统，没有之一！

abc0824 2015-10-27

打赏
举报

回复

引用 1 楼 xuzuning 的回复:

那不是漏洞！

是在安全联盟中检测出来的

xuzuning 2015-10-27

打赏
举报

回复

那不是漏洞！

本文介绍DeDeCMS V5.7SP2中一个允许修改未设置安全问题账户密码的漏洞，通过具体步骤演示如何利用此漏洞实现密码的非法更改。

本文介绍了一种针对Dedecms V5.7版本中download.php URL重定向漏洞的修复方法，通过直接修改文件中的特定代码来解决安全问题。

本文深度剖析DeDeCMS v5.7 SP2前台任意用户密码重置漏洞，聚焦PHP弱类型比较（==）引发的安全缺陷：未设安全问题的用户因数据库字段为NULL/0，配合空字符串输入可绕过校验。详细涵盖环境搭建（PHPStudy+源码部署）、漏洞复现步骤（构造GET请求、捕获重置Key、完成密码修改）及修复方案——将松散比较改为严格比较（===），并补充关闭会员功能、强制安全问题、WAF拦截等加固措施。

本文介绍了如何处理DedeCMS V5.7中download.php存在的URL重定向漏洞，该漏洞可能导致钓鱼攻击。360网站安全建议升级到最新版本，但考虑到可能引发的问题，如标签调用、后台文件修改等，特别是对于进行了二次开发的网站，直接升级不是最佳方案。文中提供了一种替代方法，通过修改download.php文件的第67行代码来修复漏洞，避免不必要风险。

这篇博客介绍了Dedecms V5.7 SP2版本中存在的一处CSRF（跨站请求伪造）保护措施绕过漏洞。问题源于配置文件/dede/config.php中的代码校验不当，允许恶意数组通过，从而可以绕过CSRF防御。修复建议将代码中的不等判断改为全等判断。此外，文章提醒用户，自行修复或使用其他方案可能仍会导致云盾报告漏洞，此时可以选择忽略。

4,250

社区成员

4,522

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章