PbootCMS V3.2.25 build 2026-09-08
1. 修复后台用户快捷改值无字段白名单，可改写任意管理员密码哈希的问题，仅允许修改 status 字段
2. 修复后台用户删除与状态切换接口可被裸 GET 请求触发 CSRF 的问题，改为 POST 提交并校验 formcheck
3. 新增 data 目录默认访问拒绝规则，防止 Nginx/Apache 默认部署下 SQLite 数据库被直接下载
4. 修复 get_user_ip 无条件信任 X-Forwarded-For 导致 IP 黑白名单与登录锁定可被绕过的问题，新增 trusted_proxies 可信代理配置
5. 加固 UEditor 远程抓图 SSRF 防护，新增连接超时、大小上限、DNS 重绑定防护与内网地址拦截
6. 加固找回密码验证码，改为 6 位安全随机生成，并增加过期时间与错误次数锁定
7. 修复在线升级 SQL 迁移失败时无日志记录、报错无指向的问题，失败时记录日志并中止升级，跳过纯注释片段
8. 修复 PHP 8 下后台留言、评论、会员、日志列表因 IP 空值触发 long2ip 报错导致整页 500 的问题
9. 修复批量复制内容时自定义 URL 名称被原样复制，导致副本前台不可达或 404 的问题
2. 修复后台用户删除与状态切换接口可被裸 GET 请求触发 CSRF 的问题，改为 POST 提交并校验 formcheck
3. 新增 data 目录默认访问拒绝规则，防止 Nginx/Apache 默认部署下 SQLite 数据库被直接下载
4. 修复 get_user_ip 无条件信任 X-Forwarded-For 导致 IP 黑白名单与登录锁定可被绕过的问题，新增 trusted_proxies 可信代理配置
5. 加固 UEditor 远程抓图 SSRF 防护，新增连接超时、大小上限、DNS 重绑定防护与内网地址拦截
6. 加固找回密码验证码，改为 6 位安全随机生成，并增加过期时间与错误次数锁定
7. 修复在线升级 SQL 迁移失败时无日志记录、报错无指向的问题，失败时记录日志并中止升级，跳过纯注释片段
8. 修复 PHP 8 下后台留言、评论、会员、日志列表因 IP 空值触发 long2ip 报错导致整页 500 的问题
9. 修复批量复制内容时自定义 URL 名称被原样复制，导致副本前台不可达或 404 的问题
更新时间：2026-09-08 21:39:44