# ThinkPHP 5 <=5.0.22 远程代码执行高危漏洞 ## 基本信息 标题: ThinkPHP5 <= 5.0.22 远程代码执行高危漏洞 CVSS分值: 10 CVSS: AV:N/AC:L/Au:N/C:C/I:C/A:C 披露时间: 2018-12-10 CVEID: 无 简介: ThinkPHP 是一款兼容性高、部署简单的轻量级国产PHP开发框架。 2018年12月10日，阿里云云盾应急响应中心监测到 一个高危安全漏洞被公开，披露了一个高危安全漏洞，由于ThinkPHP5框架对控制器名没有进行足够的安全检测，导致在没有开启强制路由的情况下，攻击者构造特定的恶意请求，可以直接获取服务器权限。受影响的版本包括5.0和5.1版本。当前这个漏洞影响ThinkPHP <=5.0.22版本。 解决方案: 在think\App类的module方法的获取控制器的代码后面加上 if (!preg_match('/^[A-Za-z](\w|\.)*$/', $controller)) { throw new HttpException(404, 'controller not exists:' . $controller); } 或点击一键修复。 参考链接: help.aliyun.comwww.cnvd.org.cn ## 说明 路径：/data/wwwroot/banmutian.sxctkj.cc/thinkphp/library/think/App.php