[CVE-2022-42033] 网站管理->页面设计存在代码执行漏洞

gongfuxiang / shopxo

ShopXO企业级免费开源商城系统，可视化DIY拖拽装修、包含PC、H5、多端小程序(微信+支付宝+百度+头条&抖音+QQ+快手)、APP、多仓库、多商户、多门店、IM客服，进销存遵循MIT开源协议发布、基于ThinkPHP8框架研发

https://shopxo.net

MIT License

2.64k stars 799 forks source link

Closed azraelxuemo closed 1 year ago

azraelxuemo commented 2 years ago

我们创建一个目录，里面有config.json 内容为{ "data_id":"12", "name":"aaa" } 一定要保证有data_id,name字段，内容随意然后随便弄一个index.php,写上web shell,打包成zip

这里config.json是用来把$config,和$data_id赋值，这样在能做到写的效果

这里我们最后上传的zip会直接写到public/index.php

修复建议: 只上传后缀为html的文件

azraelxuemo commented 2 years ago

这里上传功能比较多，如果只需要css,js这种比较偏静态的，建议就使用白名单