Discuz 63积分商城插件sql注入漏洞等级为低危

发布于 2013-03-24

部分站长反馈称互联网上有人发布“Discuzv！63积分商城插件sql注入漏洞“，并宣称该漏洞可导致“网站“脱库”、“挂马”等严重后果”。

经过知道创宇安全研究团队分析该“漏洞”，发现该插件在变量处理上确实存在”漏洞“，但是对于最新版的Discuz！论坛来说，由于自身框架的有安全过滤机制，很难导致“脱库”、“挂马”等后果！所以我们认为对于最新版本Discuz！，该漏洞等级为“低危”。站长们不必“恐慌”。

目前Discuz！最新版本没有发现其他漏洞问题。对于老版本的Discuz！来说，Discuz！的自身框架的有安全过滤机制存在缺陷，攻击者可以通过“内联注释”方式来绕过。所以对于老版本Discuz！该漏洞等级为“高危”，并建议将Discuz！升级到最新版。