织梦某处设计缺陷导致后台地址泄露

某处设计缺陷,程序对某些东西过滤不严,导致后台地址泄露,仅测试了5.7。目测其它版本同样存在问题。

QQ截图20140918214426.png

DEDECMS对友情链接申请的LOGO地址没有进行严格的判断和过滤,导致可以提交PHP、ASP等后缀。

且后台查看友情链接时,如下图所示,图片仍是申请时提交的URL。

QQ截图20140918214426.png

X.PHP 代码:

 

当访问该文件,获取$_SERVER['HTTP_REFERER'],并且写出文件到X.TXT。

QQ截图20140918214426.png