CMS企业模板|CMS模板|CMS网站定制|CMS模板下载

背景：

PHPCMS V9版于2010年推出，是应用较为广泛的建站工具。第三方数据显示，目前使用PHPCMS V9搭建的网站数量多达数十万个，包括联合国儿童基金会等机构网站，以及大批企业网站均使用PHPCMS V9搭建和维护。
由于PHPCMS V9在过滤时处理不当，导致用户输入的数据可以直接拼接进入代码和SQL语句中，从而造成SQL注入漏洞。

问题文件：

caches/caches_model/caches_data/content_input.class.php

解决方法：
修改phpcms\modules\content\fields\content_input.class.php，检查get函数，对$data数据进行trim_script、safe_replace等函数过滤。修改更新后需要管理后台更新缓存，确保caches/caches_model/caches_data/content_input.class.php这个缓存文件产生了变化、确保修改到位。

另外还有new_html_special_chars等过滤手段，举例：
$info = array();
foreach($_POST['info'] as $_k=>$_v) {
    if(in_array($_k, $fields)) $_POST['info'][$_k] = new_html_special_chars(trim_script($_v));
}

总体来说，爆出SQL注入漏洞，是获取、提交参数没有过滤判断而造成，新增函数方法的时候写法严谨一些就好！