有用 PHPHub 搭建社区的兄弟么？发现了个高危漏洞！

[ibcker]

鄙人自己在折腾个 Swift 的社区 http://swiftcn.io

在修改代码时发现了个严重漏洞，能在没授权的情况下删除网站数据，并已经在作者网站验证过，给作者发邮件好几天了，也没见回，也不知道是不是发邮件的姿势不对，所以想到了吼一声。

由于漏洞危险级别急高，就不公布细节了。如果有人也用这份代码搭建社区，可以联系我要漏洞细节和修复代码。

提前祝大家中秋快乐

来给我涨个用户呗^_^

[virusdefender]

http://wooyun.org/bug/submit

[ibcker]

@virusdefender 好办法···

[jadecoder]

[并已经在作者网站验证过]

所以你把作者网站删了么？

[ibcker]

@jadecoder ···是的···我已经发邮件去道歉了·····删了一丢丢数据···

[ob]

这个有匿名发表文章和评论的功能吗？

[lxjsmdc]

提交到这里
http://wooyun.org/bug/submit
然后得到邀请码或者自己注册账号 把账号拿去能卖个 300 左右

[justjavac]

Flarum 有漏洞没？

[GG668v26Fd55CP5W]

楼主的网站打开蛮快的

[lincanbin]

https://github.com/lincanbin/Carbon-Forum
我这个有吗？

[virusdefender]

@ibcker 这种问题最好不要私下通知，防止各种纠纷，尤其是和公司打交道。

[tianrunlin]

@lxjsmdc 能值 300 ？

[ibcker]

@falcon05 北京机房是比较快·

[ibcker]

@virusdefender 涨姿势了····

[zhicheng]

TextArea.com 有吗？

[Moker]

是自己 PHPHUB 本身的问题 还是 laravel 的问题？

[ibcker]

@Moker PHPHUB 的

[powtop]

@ibcker 乌云邀请码 便宜要了 哥们 :dog

[GPU]

@lxjsmdc 300 元已经是很久以前的价格了。

[trimleo]

我联系一下 感谢楼主反馈

[chuanwu]

300 要了 哈哈哈哈哈...

[xuxu]

呼 能提示一下吗？ 我搭了一个

[mornlight]

哈哈哈哈哈，能告诉我你是怎么发现的么

[Newbing]

看了一下，作者 github 里面代码已修复，属于权限控制问题。

[lijinma]

恩，已修复。
https://github.com/summerblue/phphub/commit/fb36c3140f8978920b4e986925c51bfda68af1c3

[NauxLiu]

@ibcker 楼主，我发邮件给你了，不知道我修复这个是不是你发现的问题?

https://github.com/summerblue/phphub/commit/fb36c3140f8978920b4e986925c51bfda68af1c3

[xuxu]

@lijinma NodesController::destroy 也有问题吗？

[xuxu]

@NauxLiu NodesController::destroy 也有问题吗？

[xuxu]

突然感觉所有的 resource 的 controller 都是有权限问题。。。。

[ydhcui]

哈哈 乌云邀请码 300 一个？ 200 一个谁要 你要多少我有多少

[ibcker]

@NauxLiu 回你邮件了，修复了关键的几个，还有两个在邮件里说了~

@xuxu 看作者最新几次提交

[orFish]

删除 topic 没做权限控制

[ibcker]

@orFish 写个脚本，一分钟就清库了···啊哈哈···


@NauxLiu 求加入开发组，求加友情链接~ XD

[rootooroot]

@lxjsmdc 帐号能卖 300 ? 大量出售乌云帐号啦 2333

[leekelby]

各种没做权限控制...

[orFish]

@leekelby 所以我一般把前台控制器和管理控制器分开，就不容易有这种问题了

[NauxLiu]

@leekelby 是做了权限控制，由于 Laravel 的路由规则，同时由于疏忽，有权限保护路由的被复写了。

[NauxLiu]

@ibcker 想加入开发组尽情提交 pr 就行了，然后团队成员都比较赞成的话就可以加入啦~

[vulbox]

欢迎来漏洞盒子提交 https://www.vulbox.com/ 高危漏洞会有奖金哦！

[ibcker]

@vulbox 作者已经修复了~谢谢 :-)

[batilo]

妈蛋， 看成了 pornhub

[magictim]

@batilo 晕

[lyping]

phphub 只能用 github 登录吗？有自己的账户系统吗？

[ibcker]

@lyping 原来的没有，我改了下，有了。登陆界面还没做好就没放出来

[bjzhush]

@lxjsmdc 到哪可以卖啊？