Discuz! 官方交流社區»社區 › Discuz! X 交流與討論 › Discuz! X 問題求助 › Discuz! X BUG反饋 › 升級到最新的x3.4 gbk 有回復和附件下載漏洞 ...

查看: 17576|回復: 13

[已處理] 升級到最新的x3.4 gbk 有回復和附件下載漏洞

3 主題	13 回帖	57 積分

漸入佳境

貢獻: 0 點
金幣: 39 個

發消息

樓主

發表于 2019-12-10 16:39:18 | 只看樓主 |倒序瀏覽 |閱讀模式

BUG反饋
程序版本:	X3.4
瀏覽器:	FireFox Chrome
BUG地址:	隱藏內容
BUG截圖:	-
測試用戶名:	隱藏內容
測試密碼:	隱藏內容

通過訪問一系列如下的地址
https://域名/forum.php?mod=viewthread&tid=16911&viewpid=980301&inajax=1&ajaxtarget=post_980301

便可以直接查看需要回復才可見的內容，

而且設置價格的附件他也可以直接下載 (由于我不知道原理，此BUG無法復現，但是我百分百確定是有此漏洞的)

已升級到最新的3.4 gbk 20191201

1 貢獻

最佳答案

sbin6742 發表于 2021-6-27 12:30
我升級到了3.4 gbk 20210520版本貌似還是有這個問題，莫名其妙的增加下載次數，請問樓主找到問題原因了嗎 ...

早就沒有這種漏洞了，下載量和購買量不是一回事，多次下載會多次記錄，使用迅雷之類的多線程工具下載，次數會更多，然后下載次數更新不一定是實時的

dashen
發表于2021-6-29 01:08:33
詳細答案 >

收藏0 贊0

回復

使用道具舉報

老周部落

老周部落查看TA的應用

2 主題	1410 回帖	2061 積分

應用開發者

啦啦啦~

貢獻: 58 點
金幣: 325 個

發消息

沙發

發表于 2019-12-11 17:06:52 | 只看Ta

設置價格的附件是指帖子有價格還是附件有價格？

回復贊

使用道具舉報

dhfdg0964

3 主題	13 回帖	57 積分

漸入佳境

貢獻: 0 點
金幣: 39 個

發消息

板凳

樓主| 發表于 2019-12-11 21:08:56 | 只看Ta

老周部落發表于 2019-12-11 17:06
設置價格的附件是指帖子有價格還是附件有價格？

附件有價格

回復贊

使用道具舉報

老周部落

老周部落查看TA的應用

2 主題	1410 回帖	2061 積分

應用開發者

啦啦啦~

貢獻: 58 點
金幣: 325 個

發消息

地板

發表于 2019-12-12 12:29:08 | 只看Ta

dhfdg0964 發表于 2019-12-11 21:08
附件有價格

我這里測試了一下，用用戶賬號訪問 forum.php?mod=viewthread&tid=3&viewpid=3&inajax=1&ajaxtarget=post_980301 查看帖子內容，發現隱藏內容的顯示和附件收費提示是正常的，具體請見下圖。

關于附件下載的問題，我不是官方人員，我看不到您的日志。目前附件這一塊沒有什么已經被報告的Bug。

唯一的問題就是目前如果用戶將收費附件的最終URL發送給其他用戶，其他用戶可以憑URL直接下載（形如 forum.php?mod=attachment&aid= ）這種，不過這個算不算Bug還需要進一步探討。