简介：
Xiuno BBS是一款国产、小巧、稳定、支持在大数据量下仍然保持高负载能力的轻论坛程序
image.png
漏洞原理：
在具有发帖的权限时，可以添加上传附件，由于程序过滤不严格，可以直接导致所上传的附件被遍历删除。
image.png
影响版本：
XIUNO v4.0
验证截图：
普通用户注册以后，可以进行发帖操作，在发帖页面，先随便上传附件
image.png
image.png
发帖成功后，我这里的ID号码是57。
image.png
接下来换个账号
image.png
image.png
点击删除的时候，进行抓包！将58改为57
image.png
提示删除成功
image.png
image.png
切回test003，查看文章的附件
image.png
image.png
附件已经不存在。
这里可以进行批量删除所有的附件。
修复建议：
删除附件的过程中验证用户ID是否与发文章的ID相符，同时文件不要绑定固定顺序的 ID
关注公众号。距离成为大神更进一步哦！
那个坏叔叔
网友评论