XenForo 2.1.15补丁1，2.2.16补丁2和XenForo媒体图库（安全修复） 2.2.18

Name: XenForo 2.1.15补丁1，2.2.16补丁2和XenForo媒体图库（安全修复）
Availability: InStock
Author: axtona

XF 兼容性

2.2.x

摘要: 增强您的XenForo安全性，使用此快速修复解决潜在漏洞。所有受影响的客户应升级到XenForo 2.1.15或2.2.16。对于云用户，已自动应用补丁。预发布版2.3用户必须遵循特定说明。手动修补涉及编辑XF.php并按照提供的步骤上传文件以实现有效的安全增强。

安全修复

今日我们建议所有运行XenForo的客户，已识别到潜在的安全漏洞。所有受影响的客户应升级至XenForo 2.1.15或XenForo 2.2.16。

如果您是XenForo云服务用户，自动修复已经推出，无需采取进一步措施来解决此问题。

如果您正在运行XenForo 2.3的预发布版本，请遵循公告帖子中的说明。XenForo 2.3.0 Release Candidate 1 release该问题与潜在的跨站请求伪造和代码注入漏洞有关，可能导致远程代码执行（RCE）或跨站点 scripting（XSS）攻击。

XenForo 对独立安全研究员 Egidio Romano (EgiX) 表示感谢，他与 SSD Secure Disclosure 合作。

我们建议进行全面升级来解决这个问题，但也可以手动应用补丁到任何版本。请参见以下进一步详情。

手动应用补丁

你需要手动编辑一个文件来修复这个问题。并且上传一些更改的文件。

步骤1：编辑

src/xf.php

在该文件中查找以下行：

PHP：

$parts = explode(':', $string, 3);
Replace that line with the following:

到

PHP：

      if (!$string) return '';
if (strpos($string, ':') === false)
{
$pattern = '#^\\\?'
. str_replace('%s', '([A-Za-z0-9_\\\]+)', preg_quote(ltrim($formatter, '\\')))
. '$#';
if (!preg_match($pattern, $string, $matches))
{
throw new \InvalidArgumentException(sprintf(
 'Class %s does not match formatter pattern %s',
 $string,
$formatter
));
 }
// already a class
return $string;
 }
$parts = explode(':', $string, 3);

注意：此文件无法自动补丁，因为它包含安装特定的数据。你必须在任何运行XenForo 2.1或2.2的XenForo安装上手动应用此更改以有效修复问题。

步骤 2：上传 XF 文件