所在位置：
首页 >
营销资讯 >
网络营销 > dedeCMS v5.7 注册用户任意文件删除漏洞的修复方法
dedeCMS v5.7 注册用户任意文件删除漏洞的修复方法
时间：2022-05-25 23:00:01 | 来源：网络营销
时间：2022-05-25 23:00:01 来源：网络营销
今天在运维阿里云服务器上的织梦网站的时候，查看到有个漏洞提示为：DedeCMS v5.7 注册用户任意文件删除漏洞。该漏洞的详细简介信息为：dedecms前台任意文件删除(需要会员中心)，发表文章处，对于编辑文章的时候图片参数处理不当，导致了任意文件删除。
在阿里云服务器的漏洞风险提示详情可以可以看到如下信息：
在阿里云的漏洞描述详细区域下方将有收到影响的文件以及服务器，可以使用阿里云建议的修复方案。
从阿里云提示的信息可知，阿里云云安全中心给出的修复方案为：
方案一：使用云盾自研补丁进行一键修复；
方案二：更新该软件到官方最新版本或寻求该软件提供商的帮助。
【注意：该补丁为云盾自研代码修复方案，云盾会根据您当前代码是否符合云盾自研的修复模式进行检测，如果您自行采取了底层/框架统一修复、或者使用了其他的修复方案，可能会导致您虽然已经修复了该漏洞，云盾依然报告存在漏洞，遇到该情况可选择忽略该漏洞提示】
如果不使用官方推荐的解决方案，可以使用网上查找的修复方案，刚在网上查找到一个解决方案，解决方法也比较简单，在此，我便借助亿企邦的平台将修复方法分享如下：
漏洞名称：DedeCMS v5.7 注册用户任意文件删除漏洞
危险等级：★★★★★(高危)
漏洞文件：/member/inc/archives_check_edit.php
披露时间：2017-03-20
漏洞描述：dedecms前台任意文件删除(需要会员中心)，发表文章处，对于编辑文章的时候图片参数处理不当，导致了任意文件删除。
修复方法： 查找网站根目录下的member文件夹，并打开/member/inc/archives_check_edit.php文件，找到大概第92行的代码：
$litpic =$oldlitpic;
修改为：
$litpic =$oldlitpic; if (strpos( $litpic, '..') !== false || strpos( $litpic, $cfg_user_dir."/{$userid}/" ) === false) exit('not allowed path!');
如下图所示：
说明：自行采取了底层/框架统一修复、或者使用了其他的修复方案，可能会导致您虽然已经修复了该漏洞，云盾依然报告存在漏洞，遇到该情况可选择忽略该漏洞提示。
亿企邦点评： 提醒大家一点，作为一个非资深技术人员，在修改网站文件前请先做好文件备份，以免修改错误导致无法恢复，影响网站的正常使用。
再者就是网站出现了漏洞提示，一定要记得及时的修复，以免被不法之人利用挂马，导致网站被降权，到时就追悔莫及了！
在线咨询
