修复 UCenter 用户自删除/邮件模块 SQL 注入/版本信息泄露, 论坛附件链接过期后可刷新, 相册多处越权读写, 分享越权回复, 个人资料越权上传, 门户附件删除 CSRF · Pull Request !1975 · Discuz/DiscuzX

**本 PR 已履行了负责任的漏洞披露程序，在公开前联系 @zoewho @3dming 并进行了预测试，感谢上述人员为本修复方案提供的建议以及详尽的测试工作。**

**感谢 @popcorner 提出了在 X3.4 版本的用户自删除漏洞的全新修复方案，同时感谢 @zoewho @3dming 对 PR 详尽的测试和完善工作。**

**在此希望更多的安全人员加入到维护 Discuz! X 程序安全的工作中来。**

### **描述此 Pull Request 的变更**

修复 UCenter 用户自删除/邮件模块 SQL 注入/版本信息泄露, 论坛附件链接过期后可刷新, 相册多处越权读写, 分享越权回复, 个人资料越权上传, 门户附件删除 CSRF

### **描述变更理由**

**关于站点具体应该如何升级的详细信息请参考下方发布的安全公告。**

UCenter 前期版本缺乏对功能项的校验，因此导致了一些安全性问题。本 PR 完善了对于功能项的校验机制，对于已知的向用户暴露的 input 参数统一加入 frontend=1 参数，如果识别到此参数则不允许请求除短消息客户端和头像上传之外的 API 接口，从而修复用户自删除漏洞。

同时对 UCenter 内存在几个安全问题也一并给予了修复。本 PR 对于 SQL 注入增加了过滤，对于仅限安装新应用时使用的的版本信息接口将其归属为 URL 安装功能的一部分，必须打开 URL 安装功能才可以请求此接口。

Discuz! 内同样存在着几个因为逻辑不完善导致的越权问题。本 PR 对于相册越权增加了相册归属判定，如相册归属非本人则图片归入本人默认相册。对分享越权修改了逻辑，使其调用统一库进行发布操作。对论坛附件链接进行判定，如果链接无 Session 则不再提供重新生成链接的功能。对于个人资料页面进行判定，避免越权上传情况。对于门户附件删除 CSRF 问题新增了 FORMHASH 校验。

### **对不向前兼容或涉及安全性变更的特殊说明**

请各位各位站长、站点管理运维人员**尽快推动所涉及软件的版本更新**，如无法升级也请参考相关指导对软件进行修补，保障站点安全。

建议您**在升级成功后在 UCenter 应用管理中更改每个应用的通信密钥，并将新的密钥同步至 Discuz! X 或其他应用。**

同时如果您对接了非 Discuz! X 的其他应用，建议您在备份原有其他应用自带的 uc_client 的基础上**尝试使用 Discuz! X 提供的 uc_client 替换其他应用自带的 uc_client ，以进一步保证和提升网站的安全性**。

### **关联 Issue**

#INUSO
#I4VFAM
#I4XJZJ
https://gitee.com/Discuz/DiscuzX/pulls/175
https://gitee.com/Discuz/DiscuzX/pulls/377

类型	指派人员	状态
审查	monkeye 已审查通过湖中沉已审查通过 DiscuzX 已审查通过 LooTan 已审查通过 popcorner 已审查通过	已完成 (5/2人)
测试	北北″ 老周部落 Discuz	已完成 (0/0人)

Discuz/DiscuzX .gitee-modal { width: 500px !important; }

搜索帮助

Discuz/DiscuzX