一、漏洞情况分析

ThinkPHP采用面向对象的开发结构和MVC模式，融合了Struts的思想和TagLib（标签库）、RoR的ORM映射和ActiveRecord模式，是一款兼容性高、部署简单的轻量级国产PHP开发框架。

2019年1月11日，ThinkPHP团队发布了版本更新信息，修复了远程代码执行漏洞。该漏洞是由于框架在对关键类Request处理过程中，通过变量覆盖实现对该类任意函数的调用，构造相应请求可对Request类属性值进行覆盖，导致任意代码执行。攻击者利用该漏洞，可在未经授权的情况下，对目标网站进行远程命令执行攻击。

漏洞的综合评级为“高危”。

二、漏洞影响范围

漏洞影响的产品版本包括：

ThinkPHP 5.0.x ~ 5.0.23版

数据显示全球使用ThinkPHP框架的服务器规模共有4.3万；按国家分布情况来看，分布前三的分别是中国（3.9万）、美国（4187）和加拿大（471）。受此漏洞影响的ThinkPHP网站比率约为12%，影响比例较高。

三、漏洞处置建议       目前，ThinkPHP厂商已发布新版本修复此漏洞，建议用户立即升级至最新版本：