风讯(FooSun)网站管理系统API_Response.asp页面存在越权漏洞

在文件\API\ API_Response.asp中： If Request.QueryString<>"" Then //第16行 SaveUserCookie() Else Set XmlDoc = Server.CreateObject("msxml2.FreeThreadedDOMDocument" & MsxmlVersion) XmlDoc.ASYNC = False If Not XmlDoc.LOAD(Request) Then Status = 1 Messenge = "数据非法，操作中止！" appid = "未知" Else If Not (XmlDoc.documentElement.selectSingleNode("userip") is nothing) Then UserTrueIP = XmlDoc.documentElement.selectSingleNode("userip").text End If If CheckPost() Then Select Case Act Case "checkname" 整合文件中没有判断程序是否开启，恶意用户可以向该文件提交数据来进行修改删除用户的操作。 FooSun > 5.0 厂商补丁： FooSun ------- 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本： http://www.foosun.net/