關于PHPCMS V9.6 WAP模塊存在任意文件上傳漏洞的安全公告
近日，國家信息安全漏洞共享平臺（CNVD）收錄了PHP存在任意文件上傳漏洞（CNVD-2017-04180）。遠程攻擊者可利用前臺注冊功能上傳任意圖片木馬文件，獲得網站的控制權限。
一、漏洞情況分析
PHPCMS采用PHP5+MYSQL做為技術基礎進行開發(fā)，是一款網站建站系統(tǒng)，該系統(tǒng)采用模塊化開發(fā)，支持多種分類方式，使用它可方便實現個性化網站的設計、開發(fā)與維護。
PHPCMS V9.6 WAP模塊對前臺用戶上傳的文件擴展名過濾不嚴，導致存在任意文件上傳漏洞，遠程攻擊者通過注冊功能，使用#截斷繞過對文件擴展名的驗證，上傳一個偽造成圖片的腳本文件獲取網站的webshell。
二、漏洞影響范圍
漏洞影響開啟WAP模塊且開放前臺注冊功能的PHPCMS V9.6版本。
三、漏洞修復建議
目前官方暫未發(fā)布任何補丁，CNVD建議用戶關注廠商主頁，及時等待更新。
針對開啟WAP模塊且開放前臺注冊功能用戶，臨時防護建議：
1.打開文件/phpcms/libs/classes/attachment.class.php
在第166行后加上如下代碼：
if(!preg_match(“/($ext)/i”, $filename)) continue:
2.使用第三方WEB防火墻（WAF）對網站進行全面的安全防護。