Coppermine Photo Gallery 跨站脚本与SQL注入漏洞安全风险分析及修复建议

时间：2026-07-24 06:32

Coppermine Photo Gallery 1 4 14 存在多处输入验证缺陷，攻击者可同时利用 SQL 注入与跨站脚本（XSS）发起攻击。官方已在 1 4 15 版本中完成修复。受影响系统 Coppermine Photo Gallery 1 4 14 不受影响系统 Coppermine

Coppermine Photo Gallery 1.4.14 存在多处输入验证缺陷，攻击者可同时利用 SQL 注入与跨站脚本（XSS）发起攻击。官方已在 1.4.15 版本中完成修复。

受影响系统

Coppermine Photo Gallery 1.4.14

Coppermine Photo Gallery 1.4.15

Coppermine 是一套基于 PHP 开发的多功能图片库脚本，功能高度集成，但在安全防护方面留下了数个明显缺口。问题出在哪儿？主要原因是三个核心文件对输入参数的过滤机制不够严格。

先说 util.php 和 reviewcom.php——这两个文件未对某些参数进行充分的合法性校验，攻击者可注入精心构造的 SQL 语句，从而绕过正常查询逻辑，甚至直接控制数据库。换言之，只要参数未被严格绑定，注入攻击就有机可乘。

再说 docs/showdoc.php——该文件在处理 h 和 t 参数时，直接将用户输入原样返回给浏览器，未做任何转义处理。于是攻击者能够向页面注入任意 HTML 和脚本代码，一旦管理员或其他用户访问被篡改后的页面，恶意脚本便会在浏览器端执行。

目前官方已发布修复版本，强烈建议所有使用 1.4.14 及更早版本的用户立即升级至 1.4.15。补丁可从 SourceForge 官方项目页面获取：https://downloads.sourceforge.net/coppermine/cpg1.4.15.zip

安全更新切勿拖延，漏洞细节一旦公开，被攻击的风险将急剧上升。

来源：https://www.jb51.net/hack/5536.html

浏览器漏洞用户验证脚本注入输入厂商 Coppermine

本站内容用于信息整理与展示，如有侵权或内容问题请及时联系处理。

继续查看同栏目最近更新的文章。

网吧常隐藏或限制磁盘访问，用户存入文件后无法打开。可通过两种方法恢复访问：一是修改盘符路径，如将D盘改为J盘；二是映射网络驱动器，输入本机IP 盘符$创建虚拟盘，不改变原盘属性且不留痕迹。

微软在 NET 生态系统中集成了大量安全机制，从身份验证集成到默认禁用调试信息，几乎所有关键环节都有覆盖。这种对安全的高度重视，确实促使许多开发者在软件开发过程中重新审视安全保障的重要性。但理想与现实之间总存在差距——根据 SPI Dynamics 的客户服务记录， NET 开发人员反复栽在几个常

受影响系统 Tomas Brandysky Linux Kiss Server 1 2 描述 Linux Kiss Server 是一款用于替代 PC-LINK 软件的服务程序，可同时支持守护进程运行和前台模式。本次重点分析的安全漏洞正是出现在前台模式下，属于典型的格式串处理缺陷，攻击者可借

针对网络管理员，介绍从硬件到软件的密码破解方法：CMOS密码可通过拔数据线或切断供电解决；Windows系统可利用安全模式命令或删除文件绕过；办公软件如WPS、Office可用专用工具破解；Foxmail密码可通过删除或修改Account stg文件解决。

攻击者在渗透测试中，利用Unicode漏洞或SQLServer的XP_Cmdshell，可获取PCAnyWhere的SA CIF密码文件。随后复制到网站目录并下载，使用专用密码破解工具进行离线破解，破解出明文密码后即可获得远程连接凭证，从而实现对目标主机的远程控制。