DedeCMS 内容管理系统恶作剧漏洞 + EXP

edit_fullinfo.php：

if($dopost=='save')  //edit_fullinfo.php?dopost=save 就来到这步了
{
    $oldspacelogo=(empty($oldspacelogo))? "" : $oldspacelogo;  //没有做任何过滤
    $spacelogo=(empty($spacelogo))? "" : $spacelogo;
    $pagesize=(empty($pagesize))? "" : $pagesize;
    $sign=(empty($sign))? "" : $sign;
    $spacenews =(empty($spacenews))? "" : $spacenews;
    $spacename =(empty($spacename))? "" : $spacename;
    $maxlength = $cfg_max_face * 1024;
    $userdir = $cfg_user_dir.'/'.$cfg_ml->M_ID;
      //$userdir就是当前用户ID的图片文件夹  例如 uploadsuserup4
    if(!ereg('^'.$userdir, $oldspacelogo))  //这里绕过简单得很 uploads/userup/4/../../../ 既可绕过
    {
        $oldspacelogo = '';
    }
    if(is_uploaded_file($spacelogo))  //这里要一定随便一个文件图片文件上传
    {
            if(@filesize($_FILES['spacelogo']['tmp_name']) > $maxlength)
            {
                ShowMsg("你上传的Logo文件超过了系统限制大小：{$cfg_max_face} K！", '-1');
                exit();
            }  //这里是检测图片大小 你找一个1KB的就行了
            //删除旧图片（防止文件扩展名不同，如：原来的是gif，后来的是jpg）  这短话是官方留下的
            if(eregi(".(jpg|gif|png)$", $oldspacelogo) && file_exists($cfg_basedir.$oldspacelogo))
            {
               //由于这里不能被绕过 所以只能删除网站所有的JPG  GIF  PNG这样后缀的文件 所以才叫恶作剧
                @unlink($cfg_basedir.$oldspacelogo)
            }

Exp：