Phpcms v9安全漏洞补丁修补文件不断更新

近期不少朋友遭遇Phpcms站点遭受挂马挂链被黑等攻击，基于我们对Phpcms v9一直来的关注和二次开发，CMSYOU推出本项服务：Phpcms v9安全漏洞补丁修补服务，此漏洞补丁文件是CMSYOU根据CVE 漏洞库、阿里云云盾检测、360安全检测、SeeBug、漏洞盒子等第三方安全漏洞检测平台已暴露的Bug修正文件，以及根据我们多年来的经验自定义修正的安全漏洞。

如果你正好困扰于程序安全问题，怎可以选择以下服务方式：

方式一：如果现有网站程序没有经过二次开发，则可直接购买本漏洞文件包，自行增量覆盖，或者备份好原版程序后，直接覆盖。碰到疑问我们提供技术支持。此方式适合对Phpcms v9有一定了解、对php熟悉的朋友;

方式二：如果你对Phpcsm不熟悉、也没有改过php文件，或者现有网站之前二次开发过功能，则需要在购买的时候勾选【代为安装】，我们提供代为安装服务、在备份后手动针对性替换。

Phpcms v9安全漏洞补丁修补文件包括且不限于以下漏洞：

• PHPCMS9.6.3版本在web页面生成时对输入的转义处理不恰当（跨站脚本）反射型XSS漏洞；
• PHPCMS9.6.3版本前台会员登录存在的部分反射型XSS漏洞，涉及文件phpcms/base.php；
• PHPCMS9.6.3版本 phpcms/modules/block/classes/block_tag.class.php管理后台碎片类getshell漏洞；
• PHPCMS9.6.3版本 phpcms/modules/block/block_admin.php管理后台碎片管理getshell漏洞；
• PHPCMS9.6.3版本 /phpcms/libs/classes/param.class.php文件$_GET过滤SQL注入攻击漏洞补丁；
• PHPCMS9.6.3版本 /phpcms/libs/functions/global.func.php文件$template模板调用权限漏洞补丁；
• PHPCMS9.6.3版本 后台存储型xss攻击漏洞补丁；
• PHPCMS9.6.3版本 /phpcms/modules/admin/urlrule.php URL规则任意代码执行漏洞补丁；
• PHPCMS9.6.3版本 /api/get_menu.php PHPCMS authkey泄漏漏洞补丁；
• PHPCMS v9.6.2版本 任意文件读取漏洞补丁；
• PHPCMS V9 phpcms/modules/poster/poster.php phpcms注入漏洞修复补丁；
• PHPCMS V9 /phpcms/modules/content/down.php phpcms前台注入导致任意文件读取漏洞补丁；
• PHPCMS V9 全版本反射型XSS漏洞修复补丁；
• PHPCMS V9 /api/phpsso.php phpcms SQL注入漏洞 注入漏洞修复补丁；
• PHPCMS V9 /phpcms/modules/member/index.php phpcms注入漏洞修复补丁；
• PHPCMS V9 /phpcms/modules/pay/respond.php phpcmsv9路径泄漏 宽字节注入修复补丁；
• PHPCMS V9 phpsso/index.php authkey 泄露漏洞修复补丁；
• PHPCMS V9 /api.php Authkey 信息泄漏修复补丁；

购买服务后，在安全防护过程中我们将提供技术支持，有疑问欢迎点击右侧QQ对话，咨询联系线上客服！

安全漏洞补丁更新日期：2023年3月17日。

*更新记录：

8、20230317：修正PHPCMS9.6.3版本在web页面生成时对输入的转义处理不恰当（跨站脚本）反射型XSS漏洞，涉及文件/phpcms/model/content_model.class.php、/phpcms/libs/functions/global.func.php，涉及$_POST['linkurl']、$url_forward等链接传输过滤的处理。

7、20210818：针对Phpcms v9.6.3前台会员登录存在的部分反射型XSS进行修正，增加remove_xss过滤函数过滤HTTP_REFERER网址，并加入安全过滤脚本对全局进行安防（更新记录：http://www.cmsyou.com/support/244.html）。感谢念****用户的反馈及安防平台检测调试配合。

6、20201230：针对Phpcms v9.6.3管理后台碎片管理模块的getshell漏洞做安防过滤，增加对参数$template的判断过滤写法（更新记录：http://www.cmsyou.com/support/234.html）。

5、20191108：根据阿里云安骑士检测报告，更新改写部分参数写法。

4、20191029：对\phpcms\libs\classes\param.class.php文件修改，增加对route_m、route_c、route_a获取$_GET的过滤元素，避免SQL注入攻击。

3、20191015：对\phpcms\libs\functions\global.func.php文件修改，对$template模板文件位置做目录限制，避免跨目录权限调用模板文件。

2、20190615：对多个模块方法改写修正写法、漏洞。

1、20190422：综合以往安防经验、根据多个安全平台整理合并漏洞修补文件，组件上架。