一、事件描述

近日，广西教育系统网络安全监测中心监测到ThinkPHP远程代码执行漏洞(QVD-2022-46174)。当ThinkPHP开启了多语言功能时，攻击者可以通过lang参数和目录穿越实现文件包含，当存在其他扩展模块如pear扩展时，攻击者可进一步利用文件包含实现远程代码执行。鉴于该漏洞影响范围较大，建议用户尽快做好自查及防护。

ThinkPHP是一个开源免费的，快速、简单的面向对象的轻量级PHP开发框架，是为了敏捷 WEB 应用开发和简化企业应用开发而诞生的。

二、影响范围

6.0.1 <= ThinkPHP <= 6.0.13

ThinkPHP 5.0.x

ThinkPHP 5.1.x

三、漏洞等级

广西教育系统网络安全监测中心将该漏洞评级为高危。

四、安全建议

目前官方已发布安全更新，建议受影响客户安装更新。

下载链接：

https://github.com/top-think/framework/releases

安全版本：

ThinkPHP >= 6.0.14

ThinkPHP >= 5.1.42