织梦后台文件重命名漏洞CVE-2018-9134怎么修复？文件重命名漏洞修复思路
Dedecms V5.7 后台文件重命名漏洞，可将上传的任意文件重名为 php 文件导致 getshell。本文用问答对话形式，讲清织梦重命名漏洞的修复思路。
站长问： 我的织梦被提示有后台文件重命名漏洞（CVE-2018-9134），怎么修？
技术答： 该漏洞逻辑比较简单：入口文件里只简单验证身份，没有对变量进行任何过滤——由于织梦采取伪全局变量注册机制，未过滤时可声明任意变量，通过重命名把上传的任意文件改为 php 文件导致 getshell。思路是：对入口文件的变量/文件名校验做加固——严格过滤文件名、限制重命名范围、禁止危险后缀。
站长问： 具体怎么理解？
技术答： 思路是：修改文件管理入口文件，增加对重命名参数和文件名的严格校验。改完漏洞就堵住了。
站长问： 要注意什么？
技术答： 一是按修复教程改；二是改前备份相关文件；三是修复后测试文件管理正常。
更新时间：2026-08-27 13:49:29