路径处理不当导致注册用户可以删除网站上的任意图片
详细说明：
注册一个用户，登录后点击上传头像，比如地址为：
http://www.badguest.cn /jishigou30s/index.php?mod=settings&code=face
在最后面加上&temp_face=././images/noavatar.gif 再访问，然后我的头像那块就会加载这个图片，直接点击下面的“确认”，头像木有修改成功，但是noavatar.gif这个文件却被删掉了。
漏洞证明：
随便找个记事狗的站就可以证明了。（图片需要有可写权限）
修复方案：
对于前台输入的路径都进行强制判断并过滤
由于网站在上传头像完成时删除临时文件的判断不严格，造成此漏洞，感谢反馈，已经提供相应修复补丁，并更新相关下载。
渝公网安备 50024202000196号
域名注册知识
虚拟主机知识
网站建设知识
网络推广知识
网络营销知识
常见技术问题
QQ空间
新浪微博
开心网
人人网