标题: ECShop远程代码执行高危漏洞
CVSS分值: 无
CVSS: 无
披露时间: 2018-08-31
CVE ID: 无
简介:
2018年8月31日晚，阿里云云盾应急响应中心监测到有安全研究人员披露了一个ECShop全系列版本远程代码执行高危漏洞。攻击者无需登录站点等操作，直接可以利用漏洞获取服务器权限，危害严重。
详情:
漏洞描述 ECShop的user.php文件中的display函数的模版变量可控，导致注入，配合注入可达到远程代码执行。攻击者无需登录站点等操作，直接可以利用漏洞获取服务器权限，危害严重。 危害评级 严重 影响范围 ECShop全系列版本，包括2.x,3.0.x,3.6.x等
解决方案:
修改include/lib_insert.php中相关漏洞代码，将$arr[id]和$arr[num]强制转换成int型，如下：$arr[id]=intval($arr[id])$arr[num]=intval($arr[num])
参考链接: help.aliyun.com
