107 Star 511 Fork 221

勾股开源 / ThinkPHP勾股CMS

 / 详情

安全隐患 URL: /home/user/edit_submit

待办的
创建于  
2024-05-08 23:57

隐患 URL: /home/user/edit_submit
隐患是否验证: 是
隐患危害:可以编辑任意用户的基本资料。
修补建议: 验证用户权限。
4.3.1.1 隐患验证
将 id=2(用户为 admin)改为 1,即可更改 id=1(用户为 user123)的基本资料。

评论 (1)

rongxing 创建了任务

修改代码如下:

    public function edit_submit()
    {
        $param = get_params();
		
		$login_user_id =get_login_user();
		
        $param['birthday'] = strtotime($param['birthday']);
		$param['update_time'] = time();
		
		//$res = Db::name('User')->where(['id' => $param['id']])->strict(false)->field(true)->
        $res = Db::name('User')->where(['id' => $login_user_id])->strict(false)->field(true)->update($param);
        if ($res !== false) {
            add_user_log('edit', '个人信息', $param['id'], $param);
            to_assign(0, '操作成功');
        } else {
            to_assign(1, '操作失败');
        }
    }

登录 后才可以发表评论

状态
负责人
里程碑
Pull Requests
关联的 Pull Requests 被合并后可能会关闭此 issue
分支
开始日期   -   截止日期
-
置顶选项
优先级
参与者(1)
PHP
1
https://gitee.com/gouguopen/gougucms.git
git@gitee.com:gouguopen/gougucms.git
gouguopen
gougucms
ThinkPHP勾股CMS

搜索帮助

344bd9b3 5694891 D2dac590 5694891