【安全】发现几个可能被利用的接口，请管理员看下

mc981718

【安全】发现几个可能被利用的接口，请管理员看下

管理员好，我是论坛老用户。

最近在逛论坛的时候发现几个地方可能有问题，已经私信过 admin，怕没看到这里也贴一份。

1. UCenter 头像上传接口对文件校验不严
   /uc_server/index.php?...&a=uploadavatar
   上传的文件会落到 /uc_server/data/tmp/ 并且可以直接访问，这个目录如果可执行PHP会出问题。

2. 后台登录 /admin.php 没有验证码
   失败次数限制可以被绕过，存在被反复尝试的风险。

3. 插件目录信息泄露
   /source/plugin/freeaddon_avatar/index.htm 里有插件授权的隐藏信息，包括外部回连域名，建议清理。

我不是来要权限的，纯属看着不太放心。需要详细复现步骤可以私信我。

admin

好的