微擎最新版SQL注入 文件(web/source/site/editor.ctrl.php)
漏洞提示: htmlspecialchars_decode 函数对全局过滤gpc产生的 \’ 进行转义,将可控的参数$html的污染值插入数据库后,产生SQL注入漏洞。 我百度了下,很多文章都写说找到该文件63行,如下代码处if (!empty($nav)) {然后添加$nav['id'] = intval($nav['id']);但是根据上下文,我觉得不应该这样做,因为$nav这个变量明显是个二维数组,应该在循环中去处理正确代码:if (!emp.
原创
2020-05-28 10:43:02 ·
843 阅读 ·
0 评论