FCKeditor是一款非常优秀的HTML在线编辑器。在处理PHP上传的地方存在严重的安全漏洞
导致用户可以上传任意文件
在fckeditor/editor/filemanager/upload/php/upload.php 61行
程序从$_GET数组中获取Type变量,然后通过in_array进行类型判断。
但在config配置文件中
并未对Media类型进行上传文件类型的控制,导致用户上传任意文件
Fckeditor <=2.4.2 For php
更新到最新的2.5版本。或者在config.php文件中,添加对Media类型的文件类型限制
暂无评论