近日廣東省網(wǎng)絡(luò)安全應(yīng)急響應(yīng)中心公布了ThinkPHP框架的遠(yuǎn)程代碼執(zhí)行漏洞公告
當(dāng) ThinkPHP 開啟了多語(yǔ)言功能時(shí)，攻擊者可以通過lang參數(shù)和目錄穿越實(shí)現(xiàn)文件包含，當(dāng)存在其他擴(kuò)展模塊如 pear 擴(kuò)展時(shí)，攻擊者可進(jìn)一步利用文件包含實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。
漏洞名稱：ThinkPHP 遠(yuǎn)程代碼執(zhí)行
漏洞漏洞編號(hào)：QVD-2022-46174
影響范圍：6.0.14以下版本 5.1.42以下版本
危害等級(jí)：高
該漏洞對(duì)于5.1及5.0版本的影響較大，因?yàn)?.0版本默認(rèn)不會(huì)開啟多語(yǔ)言檢測(cè)。
官方于10月26日已經(jīng)發(fā)布安全更新版本V6.0.14以及V5.1.42 （參見ThinkPHP發(fā)布6.1.0&6.0.14版本——安全更新 ），請(qǐng)開發(fā)者盡快升級(jí)到官方最新版本并做好服務(wù)器安全訪問機(jī)制！
