DedeCMS最新版任意用户密码修改漏洞分析

Dedecms官方在2018年01月09日更新了DedeCMS V5.7 SP2正式版，但存在任意用户密码重置漏洞。攻击者可以通过传入的问题和答案不为空，而且等于之前设置的问题和答案，绕过if判断，从而修改任意用户的密码。攻击难度低，危害程度高。官方至今未发布升级补丁。建议用户及时更新系统或使用其他安全软件进行防护。