这段时间刚升级了Typecho，群友就提示我1.2版本有漏洞，于是我就去查了一下

Typecho 1.2评论存在XSS漏洞，攻击者可以在评论中注入恶意脚本来攻击网站用户。

该漏洞可能会导致用户的人信息泄露、账户被盗等安全问题。建议用户尽快升级到最新版本或采取其他安全措施来保护自己的网站数据安全。

搜了一下，目前有三种解决方法：

  1. 更新V1.2.1-RC版本
  2. 修改来自GitHub提交的#1547PR
  3. 暂时关闭评论

1.2.0版本修复方法

第一步：修改 var/Widget/Base/Comments.php 文件大约第271行
找到第271行

echo '<a href="' . $this->url . '"'

改为

echo '<a href="' . Common::safeUrl($this->url) . '"'

第二步：修改 var/Widget/Feedback.php 文件大约第209行和308行
找到第209行和308行

第209行 $comment['url'] = $this->request->filter('trim')->url;
第308行 $trackback['url'] = $this->request->filter('trim')->url;

改为

第209行 $comment['url'] = $this->request->filter('trim', 'url')->url;
第308行 $trackback['url'] = $this->request->filter('trim', 'url')->url;

第三步：修改 var/Widget/Options.php 文件大约第85行
找到85行

 * @property bool $commentsRequireURL

改为

 * @property bool $commentsRequireUrl

这样就可以了

本文作者：Leginn

本文链接：https://blog.leginn.top/archives/typecho12ping-lun-xsslou-dong-xiu-fu.html

版权声明：本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载及引用请联系作者，并注明出处（作者、原文链接等）。