关于阿里云服务器报”74cms-v4.1.15一处任意文件删除”漏洞的公告

你是否遇到过以下提示，【阿里云】尊敬的用户：您的服务器106.14.00.00存在74cms-v4.1.15一处任意文件删除，已为您准备云盾自研补丁可一键修复该漏洞，为避免被黑客入侵，建议您登录云盾-服务器安全(安骑士)控制台，进行查看和处理。
       此漏洞存在于74cms-v4.1.15版本中，在简历附件上传功能中，提交参数可被用户修改，导致任意文件可被删除。

漏洞位置：Application\Home\Controller\PersonalController.class.php

（Img参数是客户端提交的，用户可以恶意修改，并存储到数据库中，这样在删除的时候就会把任意文件删除）

官方当时已第一时间修复此漏洞。官方修复方案：

（在保存入库时并不接收客户端的传送值，而是根据id去查询数据表数据并转存，这样避免了将用户随意输入的内容入库）

但阿里云还是检测到有漏洞，无奈之下官方购买了阿里云的云盾专业版，查看了阿里云是如何修复此漏洞的。查看结果和预料的一样，阿里云只是草率的加了一句判断代码，并没有兼顾上下文的逻辑。为了让广大站长放心使用，官方只好按照阿里云的方案去修复。

阿里云修复方案：

（阿里云并没有看上下文逻辑，只是在删除的时候做了判断，这样虽然可以解决文件不被删除，但并没有从根源解决）

但是，就在我们按阿里云的方案修复之后，阿里云又报出这个漏洞。我们仔细查看了他又一次的修复方案，修复结果大跌眼镜，同样的代码阿里云写了两次。

此时已经可以断定，阿里云是误报，请广大站长放心使用，可以直接忽略掉这个漏洞报告了。