Discuz! X系列全版本后盾SQL注入缝隙风险公告
颁布功夫 2019-12-11缝隙编号和级别
CVE编号：暂无，，，，，危险级别：高危，，，，，CVSS分值：官方未评定
影响版本
Discuz! X < X3.4 R20191201 UTF-8
缝隙概述
Discuz!全称Crossday Discuz! Board，，，，，是一套通用的社区论坛软件系统。。。。。Discuz! 的基础架构选取世界上最盛行的web编程组合PHP+MySQL实现，，，，，是一个经过美满设计，，，，，合用于各类服务器环境的高效论坛系统解决规划。。。。。
Discuz！X全版本存在SQL注入缝隙。。。。。该缝隙产生的原因是在Discuz源码source\admincp\admincp_setting.php在处置某参数时未进行齐全过滤，，，，，导致出现二次注入，，，，，Discuz！X全版本中的admincp_setting.php文件中某参数存在SQL注入缝隙。。。。。攻击者能够利用该缝隙，，，，，通过SQL注入攻击获取服务器的最高权限。。。。。
凭据国内驰名搜索引擎数据统计，，，，，互联网中涉及到Discuz！的资产高达48万余，，，，，Discuz！使用领域广，，，，，且该缝隙影响版本较多，，，，，所以该缝隙影响领域较广。。。。。
缝隙验证
提交的UC_APPID值被写入/config/config_ucenter.php文件中，，，，，在PHP解析时造成了二次注入的产生。。。。。
机关语句
1' into outfile '//tmp//20191211.txt' -- a
建复建议
官方暂未颁布安全更新，，，，，请使用Discuz！X的用户实时关注官方的最新更新：
https://www.discuz.net/forum.php
参考链接
京公网安备11010802024551号