ThinkPHP 高危安全漏洞，攻击者可直接获取服务器权限，请尽快升级官方安全更新

2018 年 12 月 9 日 ThinkPHP 官方发布一次重要安全更新，本次版本更新主要涉及一个 ThinkPHP5.0.*-5.1.*的全系列安全漏洞，由于框架对控制器名没有进行足够的检测会导致在没有开启强制路由的情况下可能的 getshell 漏洞，也就是攻击者可以构造特定的恶意请求直接获取服务器权限。请广大 ThinkPHP 开发者尽快更新到该版本！

更新框架修复

如果你使用 composer 安装，并且一直保持最新版本使用的话，使用下面的指令更新到最新版本即可

  composer update topthink/framework

如果你使用了 git 版本库安装，也请及时更新你所用的仓库版本。

如果各种原因暂时无法更新到最新版本（早期版本升级到最新版本可能存在兼容性问题，请首先参考官方手册的升级指导章节），可以参考下面的方式进行手动修正。

手动修复

5.0 版本：在 thinkApp 类的 module 方法的获取控制器的代码后面加上

  if (!preg_match('/^[A-Za-z](w|.)*$/', $controller)) {    throw new HttpException(404, 'controller not exists:' . $controller);  }

5.1 版本：在 thinkroutedispatchUrl 类的 parseUrl 方法，解析控制器后加上

  if ($controller && !preg_match('/^[A-Za-z](w|.)*$/', $controller)) {    throw new HttpException(404, 'controller not exists:' . $controller);  }