Phpcms爆存在“任意文件讀取”漏洞
近期phpcmsv9被發現一個任意文件讀取漏洞，Phpcms是目前互聯網上使用比較廣泛的webcms。攻擊者可以通過或者后臺登錄之后讀取任意文件包括數據庫配置文件，可導致入侵者獲得數據庫權限，并利用數據庫提權進一步獲得系統權限，并帶來服務器系統的安全隱患。杭州安恒信息技術有限公司安全團隊于12月20日將相關漏洞信息在第一時間以報告形式發送給中國國家信息安全漏洞。針對該漏洞可能已對部分用戶造成嚴重損失，安恒信息已經在第一時間對明御WEB應用防火墻進行升級，可有效抵御該漏洞的侵害。
安恒信息作為中國國家信息安全漏洞庫的成員單位(http://www.cnnvd.org.cn/coopration/cooprationorg/p/2/)以及良好的技術支持團隊，是業界領先的應用安全及數據庫安全整體解決方案提供商，專注于應用安全前沿趨勢的研究和分析。其中安恒信息的“Web應用防火墻”是結合多年應用安全的攻防理論和應急響應實踐經驗積累的基礎上自主研發完成，滿足各類法律法規如PCI、等級保護、企業內部控制規范等要求，以國內首創的全透明直連部署模式，全面支持HTTPS，在提供WEB應用實時深度防御的同時實現WEB應用加速、敏感信息泄露防護及網頁防篡改，為Web應用提供全方位的防護解決方案。該產品致力于解決應用及業務邏輯層面的安全問題，廣泛適用于“金融、運營商、政府、公安、教育、能源、稅務、工商、社保、衛生、電子商務”等所有涉及WEB應用的各個行業。部署安恒的WAF產品，可以幫助用戶解決目前所面臨的各類網站安全問題，如：注入攻擊、跨站腳本攻擊(釣魚攻擊)、惡意編碼(網頁木馬)、緩沖區溢出、信息泄露、應用層DOS/DDOS攻擊等等。
安全提醒：
針對安恒信息提供的漏洞信息，漏洞預警已經通報中國國家信息安全漏洞庫，并取得高度重視。在此，安恒信息專家提醒廣大用戶如使用phpcms發現問題，可直接咨詢安恒信息的技術專家，盡可能避免因安全風險造成的損失。軟件廠家做好軟件安全控制，通過自身或第三方安全廠家進行軟件安全漏洞檢測，避免給用戶造成安全威脅。
漏洞詳細信息介紹：
受影響的程序版本：
PHPCMSV9.1.8存在任意文件讀取漏洞
綜述：
Phpcms是目前互聯網上使用比較廣泛的webcms,近期phpcmsv9被發現一個任意文件讀取漏洞.攻擊者可以通過或者后臺登錄之后讀取任意文件包括數據庫配置文件.可導致入侵者獲得數據庫權限并利用數據庫提權進一步獲得系統權限.因此需要引起相關的用戶重視
分析：
Phpcms在登錄后臺后調用文件過程未做過濾導致可以讀取其他文件泄漏相關文件
并帶來服務器系統的安全隱患
【編輯推薦】
