代码审计：ourphp 后台任意文件读取复现

ourphp

OurPHP傲派企业电商建站系统基于PHP+MYSQL完美开发，企业+电商+微信+手机+APP一个平台搞定，支持N国语言建站，外贸网站首选。
官网：http://www.ourphp.net
演示：http://demo.ourphp.net

代码审计

问题出在 \client\manage\ourphp_filebox.php。
下图edit($fename)函数，从注释可以看出，它的作用是读取文件并显示修改。
其中接收的参数fename没有过滤就和folder参数拼接，带入文件查询了。