升级到最新的x3.4 gbk 有回复和附件下载漏洞

sbin6742 · 发表于 2021-6-27 12:39:27

通过分析发现，从来没被下载过的附件不会有这个问题，只要下载过，不管管理员还是普通会员，只要下载过这个附件，那么就是莫名的增加下载次数，并且积分购买记录里没有记录。

老周部落 · 发表于 2021-6-27 23:55:21

本帖最后由老周部落于 2021-6-28 00:07 编辑

sbin6742 发表于 2021-6-27 12:39
通过分析发现，从来没被下载过的附件不会有这个问题，只要下载过，不管管理员还是普通会员，只要下载过这个 ...

请提供在Discuz! X3.4 20210520或更高版本上完整的复现方式，能复现的话我联系人来修。
另外同一个人付费之后是可以下载多次的，如果同一个人下载多次下载次数增加这不是 Bug 。
另外站点 authkey 泄露也有可能导致这种问题，请知悉。

allthebest · 发表于 2021-6-29 00:19:41

只要下载过，不管管理员还是普通会员，只要下载过这个附件，那么就是莫名的增加下载次数，并且积分购买记录里没有记录。

这情况，同一管理员与普通会员，下载同一个附件，可下载N次，但只购分一次，正常。与升级无关。

dashen · 发表于 2021-6-29 01:08:33

sbin6742 发表于 2021-6-27 12:30
我升级到了3.4 gbk 20210520版本貌似还是有这个问题，莫名其妙的增加下载次数，请问楼主找到问题原因了吗 ...

早就没有这种漏洞了，下载量和购买量不是一回事，多次下载会多次记录，使用迅雷之类的多线程工具下载，次数会更多，然后下载次数更新不一定是实时的

[已处理] 升级到最新的x3.4 gbk 有回复和附件下载漏洞