LifeType 開發團隊於英文論壇發佈緊急通知:
Security issue, please make the following changeLifeType 1.2.X 在上傳設定的部分發現安全性的漏洞,如果你有開啟檔案上傳功能,將會受到影響
問題來自於forbidden_upload變數判斷副檔名大小寫的問題。
在新的更新檔(LifeType 1.2.7)釋出之前,為了安全起見,你可以這麼做:
1. 關閉檔案上傳功能,即在管理介面中,將uploads_enabled設定為停用。
2. 不關閉檔案上傳功能的情形下,在upload_allowed_files允許上傳的檔案類型欄位中設定允許的檔案類型,此欄為會優先處理。
3. 不關閉檔案上傳功能的情形下,在upload_forbidden_files禁止上傳的檔案類型欄為中,將副檔名
所有的大小寫格式通通寫上去,以*.php檔為例:
*.php *.Php *.pHp *.phP *.pHP. *.PHp *.PhP *.PHP
如果你等不及,可以下載附加檔案的zip檔 (
載點在此)
將其中的三個php文件分別放入
/class/data/validator/uploadvalidator.class.php
/class/misc/glob.class.php
/class/misc/integritychecker.class.php
中國大陸地區的朋友如果載點被GFW,造成無法下載,請點選以下三個連結另存新檔也可
http://devel.lifetype.net/svn/plog/plog/branches/lifetype-1.2/class/data/validator/uploadvalidator.class.phphttp://devel.lifetype.net/svn/plog/plog/branches/lifetype-1.2/class/misc/glob.class.phphttp://devel.lifetype.net/svn/plog/plog/branches/lifetype-1.2/class/misc/integritychecker.class.php