發(fā)布 ECShop V2.7.3 release 1106安全漏洞補丁[20141210]
[打印本頁(yè)]
作者: 曉天
時(shí)間: 2014-12-10 17:26
標題: 發(fā)布 ECShop V2.7.3 release 1106安全漏洞補丁[20141210]
補丁下 載地址為：download.ecshop.com開(kāi)頭，該地址為ecshop下 載站，
如果非以download.ecshop.com開(kāi)頭，請勿下 載，同時(shí)請反饋給管理員。
補丁修正項
1、修復gbk版本 sql注入漏洞 危險級 高
2、修復flow.php sql注入漏洞 危險級 高
3、修復支付方式報路徑 危險級 中
4、修復模板可執行php文件 危險級中
5、修復ie9 不能使用fck編輯器問(wèn)題
6、修復flow.php sql 注入漏洞 危險級 高
7、修復fck編輯器 XSS 攻擊 危險級中
8、修復flow.php XSS 攻擊 危險級高
9、支付寶支付方式sql注入 危險級高
10、后臺用戶(hù)余額增加驗證 危險級低（360）
11、后臺數據備份增加驗證 危險級低（360）
12、修復廣告的URL跳轉問(wèn)題 危險級中 （360）
13、模板備份默認路徑 危險級中 (烏云)
14、修復廣告頁(yè)面XSS攻擊和sql注入 危險級高 (烏云)
15、缺貨處理XSS 攻擊 危險級高 (烏云)
16、用戶(hù)權限越權修改收貨地址 (烏云)
17、修復flow.php XSS 攻擊 危險級高 (烏云)
18、購物流程sql注入 危險級高 (烏云)
19、手機端注冊sql注入 危險級高 (360)
20、冒充其他用戶(hù)發(fā)表評論 危險級低（烏云）
21、批 發(fā)頁(yè)面xss攻擊，危機級高 （烏云）
22、Csrf式添加管理員 危險級低（烏云）
23、購物流程sql注入 危險級高 （360）
24、限 制模板執行php代碼（限 制部分危險代碼,危險級中）（烏云）
25、修復留言板用戶(hù)可刪除文件 危險級低（360）
26、修復 收貨地址XSS 危險級中 （360）
27、添加商品增加驗證 危險級中(烏云)
28、修復對比頁(yè) xss 文件 危險低 （360）
29、添加購物頁(yè)用戶(hù)登錄過(guò)濾 危險級高（烏云)
30、ecshop流量統計xss攻擊 危險級高 （烏云）
31、ecshop后臺可刪除文件 危險級中（360）
32、短信可刪除系統文件 危險級高
33、后臺驗證碼失效 危險級低 （烏云）
新增補丁項目
34、 后臺添加管理員sql注入 危險級低 （360）
35、流量統計代碼xss攻擊 危險級高 （360）
36、開(kāi)店向導添加過(guò)濾 危險級低（烏云）
37、惡意商品批量上傳刪除文件 危險級低
38、后臺sql查詢(xún)，只能執行sql查詢(xún)語(yǔ)句， 危險級低
新增2中支付方式
銀聯(lián)支付方式
雙乾支付方式
gbk：
點(diǎn)擊下 載utf8:
點(diǎn)擊下 載特別感謝360第三方漏洞收集平臺（
http://webscan.#/vul/about）
特別感謝烏云漏洞報告平臺 （
http://www.wooyun.org/prize）
本補丁限 制了模板文件執行php程序，如果您修改過(guò)模板同時(shí)模板里有可執行php程序，那么您不要覆蓋includes/cls_template.php,覆蓋后可能會(huì )影響到您前端的模板效果或者出現錯誤。
如果未修改過(guò)程序，可以用補丁文件直接覆蓋。
如果修改過(guò)補丁里面對應的文件，請用文件比對工具，對比原來(lái)程序，再按里面的更改修改您的文件，誤直接覆蓋。不然會(huì )把您修改過(guò)的功能覆蓋掉。
文件對比工具 BCompare 挺不錯的，可以網(wǎng)上下 載一個(gè)。
作者: whhok
時(shí)間: 2014-12-10 21:20
支持官方更新，老大能不能在發(fā)布新補丁的時(shí)候指明下在前一次補丁的上面更新了哪些文件呢。
作者: rus451
時(shí)間: 2014-12-10 22:27
本帖最后由 rus451 于 2014-12-10 22:30 編輯 \data\pay文件夾里的這個(gè)兩個(gè)文件，
MerPrK_808080071894118_20141028140457.key
netpayclient.php
這兩個(gè)文件以前沒(méi)看到有過(guò)，這個(gè)兩個(gè)是更新文件還是多余文件啊, 另外這個(gè)兩個(gè)文件是干什么用的，麻煩科普下唄，謝謝啦
作者: rickstalker
時(shí)間: 2014-12-11 08:58
2.72 的版本不能用是嗎？說(shuō)不清不楚的。
作者: rickstalker
時(shí)間: 2014-12-11 09:26
為什么現在只更新2.73的補丁了？求解釋。
作者: 開(kāi)發(fā)定制
時(shí)間: 2014-12-11 11:58
承接ecshop.ecmall,等等各種模版已經(jīng)功能定制開(kāi)發(fā)，QQ：2940486887
作者: lebaoju
時(shí)間: 2014-12-11 13:58
何時(shí)支持php5.5版本的以上呀
作者: 開(kāi)發(fā)定制
時(shí)間: 2014-12-11 16:25
承接ecshop.ecmall,等等各種模版已經(jīng)功能定制開(kāi)發(fā)，QQ：2940486887
作者: 曉天
時(shí)間: 2014-12-12 10:02
回復 4# rus451 您好，這個(gè)是銀聯(lián)支付的測試的key和銀聯(lián)支付需要的php文件。
作者: cqmpf
時(shí)間: 2014-12-12 12:37
為什么我的前臺
http://www.ceanelove.cc打不開(kāi)，
http://www.ceanelove.cc/admin/后臺能打開(kāi)？高手指教啊。
作者: 彩色奶酪
時(shí)間: 2014-12-12 13:48
這次更新我感覺(jué)就是
新增2中支付方式
銀聯(lián)支付方式
雙乾支付方式
其它都沒(méi)什么改動(dòng)。。
作者: 開(kāi)發(fā)定制
時(shí)間: 2014-12-12 13:59
承接ecshop.ecmall,等等各種模版已經(jīng)功能定制開(kāi)發(fā)，QQ：2940486887
作者: smartweb
時(shí)間: 2014-12-12 16:53
我想ecshop能不能出一個(gè)開(kāi)源激進(jìn)版放到github上呢？
恕我走廊，里面的東西好多好舊，BUG又無(wú)視了。
作者: smartweb
時(shí)間: 2014-12-12 16:56
我想ecshop能不能出一個(gè)開(kāi)源激進(jìn)版放到github上呢？
恕我走廊，里面的東西好多好舊，BUG又無(wú)視了。
smartweb 發(fā)表于 2014-12-12 16:53
原來(lái)六個(gè)月前已經(jīng)上github了，是不是官方的呢？誰(shuí)去修改一下呢？
作者: rus451
時(shí)間: 2014-12-16 09:07
管理員，補丁有問(wèn)題幫助解決下
最新補丁不支持IE8發(fā)布商品，在后臺添加新商品的時(shí)候，詳細描述選項下上傳組件不顯示幫助解決下，我用360瀏覽器測試是正常的。
在補丁中fckeditor文件夾文件覆蓋就出現這個(gè)問(wèn)題
不顯示組件的圖片
正常顯示組件的圖片
圖片附件: [有問(wèn)題圖片，]
QQ圖片20141216085848.jpg (2014-12-16 09:05, 31.32 KB) / 下載次數 8
http://bbs.ecshop.com/attachment.php?aid=113009&k=57c3f008142706a10097c361800d7f05&t=1423712938&sid=DdN466
圖片附件: [正常的圖片]
QQ圖片20141216090416.jpg (2014-12-16 09:05, 49.45 KB) / 下載次數 12
http://bbs.ecshop.com/attachment.php?aid=113010&k=a4b88e0c64ae09f09705e5d541b75411&t=1423712938&sid=DdN466
作者: rus451
時(shí)間: 2014-12-16 09:12
管理員，補丁有問(wèn)題幫助解決下
最新補丁不支持IE8發(fā)布商品，在后臺添加新商品的時(shí)候，詳細描述選項下上傳組件不顯示幫助解決下，我用360瀏覽器測試是正常的。
在補丁中fckeditor文件夾文件覆蓋就出現這個(gè)問(wèn)題
不顯示組件的圖片
正常顯示組件的圖片
圖片附件:
QQ圖片20141216085848.jpg (2014-12-16 09:10, 31.32 KB) / 下載次數 12
http://bbs.ecshop.com/attachment.php?aid=113011&k=d55a7152d4266a42be0d97aece6cc196&t=1423712938&sid=DdN466
圖片附件:
QQ圖片20141216090416.jpg (2014-12-16 09:12, 49.45 KB) / 下載次數 1
http://bbs.ecshop.com/attachment.php?aid=113012&k=3a29dd95762a80b34d80c2b3e5345e73&t=1423712938&sid=DdN466
作者: www.zisang.com
時(shí)間: 2014-12-16 12:58
挺好的 很好
作者: 開(kāi)發(fā)定制
時(shí)間: 2014-12-16 14:15
承接ecshop.ecmall,等等各種模版已經(jīng)功能定制開(kāi)發(fā)，QQ：2940486887
作者: rus451
時(shí)間: 2014-12-18 10:40
你好管理員，補丁不支持IE8的情況沒(méi)有解決啊，望管理盡快幫處理下，非常感謝。
作者: 開(kāi)發(fā)定制
時(shí)間: 2014-12-18 13:02
承接ecshop.ecmall,等等各種模版已經(jīng)功能定制開(kāi)發(fā)，QQ：2940486887
作者: rus451
時(shí)間: 2014-12-19 14:59
你好管理員，補丁不支持IE8的情況沒(méi)有解決啊，望管理盡快幫處理下，非常感謝。
作者: 開(kāi)發(fā)定制
時(shí)間: 2014-12-20 10:21
承接ecshop.ecmall,等等各種模版已經(jīng)功能定制開(kāi)發(fā)，QQ：2940486887
作者: puyun
時(shí)間: 2015-1-20 17:54
打補丁了，登錄后臺不行了。
作者: puyun
時(shí)間: 2015-1-20 17:57
登錄時(shí)出現你輸入的賬號信息不正確
