关键信息总结 影响版本 受影响版本: 1.0.6.1 漏洞概述 漏洞类型: 会话固定漏洞 (CWE-384: Session Fixation) 影响范围: 用户和管理员的登录功能 问题描述: 登录成功后，应用程序未能生成新的会话ID。攻击者可以重用合法的预认证PHPSESSID或发明任意字符串作为PHPSESSID来劫持用户的会话。 漏洞代码位置 1. 管理员登录 - 文件: - 方法: - 问题: 未在 方法中调用 2. 普通用户登录 - 文件: - 方法: - 问题: 未在 方法中调用 复现步骤 1. 攻击者选择一个任意字符串（如 ）。 2. 受害者机器上，使用浏览器开发者工具设置PHPSESSID为 。 3. 受害者以管理员身份登录， 方法执行，将管理员会话与攻击者的cookie关联。 4. 攻击者设置PHPSESSID为 并导航到管理员仪表板，获得完全访问权限。 推荐缓解措施 在两个 方法中立即在设置会话数据后调用 。 提议修复 文件: 文件: 状态更新 修复状态: 已修复，感谢报告此漏洞。