上海修复方案 ThinkPHP5 <= 5.0.22 远程代码执行高危漏洞

漏洞公告（公告内会包含同一软件多个漏洞 CVE）
    
简介
    
修复方案
ThinkPHP5 <= 5.0.22 远程代码执行高危漏洞
    

ThinkPHP 是一款兼容性高、部署简单的轻量级国产PHP开发框架。
2018年12月10日，阿里云云盾应急响应中心监测到ThinkPHP官方发布安全更新，披露了一个高危安全漏洞，由于ThinkPHP5框架对控制器名没有进行足够的安全检测，导致在没有开启强制路由的情况下，攻击者构造特定的恶意请求，可以直接获取服务器权限。受影响的版本包括5.0和5.1版本。当前这个漏洞影响ThinkPHP <=5.0.22版本。
注意：如果您原先的控制器名中带有反斜杠等特殊字符，一键修复后ThinkPHP可能会报错，您可以对补丁修复进行回滚操作，并调整控制器名后再进行修复。

    

在think\App类的module方法的获取控制器的代码后面加上

if (!preg_match('/^[A-Za-z](\w|\.)*$/', $controller)) {
    throw new HttpException(404, 'controller not exists:' . $controller);
}

或点击一键修复。

【注意：云盾会根据您当前代码是否符合云盾的修复模式进行检测，如果您自行采取了底层/框架统一修复、或者使用了其他的修复方案，可能会导致您虽然已经修复了该漏洞，云盾依然报告存在漏洞，遇到该情况可选择忽略该漏洞提示】