ThinkSNS修改任意账号用户名和密码（包括管理员）

由于某处修改未做判断，导致直接可以修改用户账号信息(包括管理员) 更换邮箱激活->修改任何uid的邮箱->登陆->使用修改的那个邮箱找回密码

由于 index.php?app=public&mod=Register&act=changeActivationEmail&uid=10 此处修改未激活用户邮箱未做判断 导致直接可以修改任意用户邮箱 然后通过修改的邮箱->找回密码->劫持了他人用户账号

未做判断

之前注册的账号

模拟POST

修改成功

登陆找回密码

 

 

管理员什么的我在本地都没问题 网上也应该不会有问题 就没试了 修复方案： 大概应该是：  

支持thinkSNS！ 越做越好

查看更多关于ThinkSNS修改任意账号用户名和密码（包括管理员）的详细内容...