Discuz! X系列全版本后台SQL注入误差危害通告
宣布时间 2019-12-11误差编号和级别
CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定
影响版本
Discuz! X < X3.4 R20191201 UTF-8
误差概述
Discuz!全称Crossday Discuz! Board，是一套通用的社区论坛软件系统。Discuz! 的基础架构接纳天下上最盛行的web编程组合PHP+MySQL实现，是一个经由完善设计，适用于种种服务器情形的高效论坛系统解决计划。
Discuz！X全版本保存SQL注入误差。该误差爆发的缘故原由是在Discuz源码source\admincp\admincp_setting.php在处置惩罚某参数时未举行完全过滤，导致泛起二次注入，Discuz！X全版本中的admincp_setting.php文件中某参数保存SQL注入误差。攻击者可以使用该误差，通过SQL注入攻击获取服务器的最高权限。
凭证海内着名搜索引擎数据统计，互联网中涉及到Discuz！的资产高达48万余，Discuz！使用规模广，且该误差影响版本较多，以是该误差影响规模较广。
误差验证
提交的UC_APPID值被写入/config/config_ucenter.php文件中，在PHP剖析时造成了二次注入的爆发。
结构语句
1' into outfile '//tmp//20191211.txt' -- a
修复建议
官方暂未宣布清静更新，请使用Discuz！X的用户实时关注官方的最新更新：
https://www.discuz.net/forum.php
参考链接
京公网安备11010802024551号