ShopEx易分销任意文件打包下载缺陷及修复方案

 

简要描述：可以打包下载任意文件。。

详细说明：通过注册注册地址：http://shop.fenxiaowang.com/index.php

进入试用后台

通过模板打包功能 修改提交参数 可以打包任何路径下的文件

方式如下http://shop-xxxxxxx.shopex.fenxiaowang.com/shopadmin/index.php?ctl=system/template&act=dlpkg&p[0]=

 

此 漏洞 同样存在 易开店 系统 。。

 

说一句无关的话：收到短信提醒 说shopex 给我发礼物，请我注意查收？礼物是什么 ？在哪里收？？？？！！！

 

漏洞证明：

 

修复方案：增加对路径的限制

查看更多关于ShopEx易分销任意文件打包下载缺陷及修复方案的详细内容...