ThinkPHP开发框架命令执行漏洞

漏洞描述                                        

近日，飓风安全应急团队监测到ThinkPHP发布安全公告，修复了一个存在于ThinkPHP中的安全漏洞，如果 Thinkphp 程序开启了多语言功能，那就可以通过传入特定参数，实现目录穿越和文件包含，包含特定文件即可实现命令执行。

【受影响版本】

• 6.0.1 <= ThinkPHP <= 6.0.13

• 5.0.0 <= ThinkPHP <= 5.0.12

• 5.1.0 <= ThinkPHP <= 5.1.8

【安全版本】

• ThinkPHP >= 6.0.14

ThinkPHP框架 - 是由上海顶想公司开发维护的MVC结构的开源PHP框架，遵循Apache2开源协议发布，是为了敏捷WEB 应用开发和简化企业应用开发而诞生的。

影响范围        

6.0.1 <= ThinkPHP <= 6.0.13、 5.0.0 <= ThinkPHP <= 5.0.12 、5.1.0 <= ThinkPHP <= 5.1.8

解决方案    

修复建议            

临时修复建议：

• 如果目前无法升级，若业务环境允许，使用白名单限制相关端口的访问来降低风险。

  
  

通用修复建议：

官方已经针对漏洞发布了版本更新，下载地址如下：

• https://github.com/top-think/framework/releases/tag/v6.0.14

原文始发于微信公众号（飓风网络安全）：ThinkPHP开发框架命令执行漏洞