图虫网几个跨权限BUG及修复

来测试
 
 
寻找:
 
data-note-id="2532245" 类似
 

 
POST发送
 
note_id%5B%5D=2532245

 
 
 

 
删除了恩。
 

 
211为ID查看任意别人对话。
 

 
 
 

 
还能评论

修复方案：


sql查询id,返回数据和SESSION比较
 
然后:if($reslse['name'] !== $_SESSION['name']){
exit('参数错误!');
}
，www.xuhantao.com，涛涛电脑知识网

• 没有相关文章