近日廣東省網絡安全應急響應中心公布了ThinkPHP框架的遠程代碼執行漏洞公告
當 ThinkPHP 開啟了多語言功能時,攻擊者可以通過lang參數和目錄穿越實現文件包含,當存在其他擴展模塊如 pear 擴展時,攻擊者可進一步利用文件包含實現遠程代碼執行。
漏洞名稱:ThinkPHP 遠程代碼執行
漏洞漏洞編號:QVD-2022-46174
影響范圍:6.0.14以下版本 5.1.42以下版本
危害等級:高
該漏洞對于5.1及5.0版本的影響較大,因為6.0版本默認不會開啟多語言檢測。
官方于10月26日已經發布安全更新版本V6.0.14
以及V5.1.42
(參見ThinkPHP發布6.1.0&6.0.14版本——安全更新 ),請開發者盡快升級到官方最新版本并做好服務器安全訪問機制!