织梦后台文件任意上传漏洞media_add

织梦早期版本后台存在文件任意上传漏洞（涉及 media_add.php），需要及时修复。本文用问答对话形式，讲清该漏洞的成因与修复思路。

问： 我的织梦站迁移后一直提示有个后台文件任意上传漏洞，涉及 media_add.php，严重吗？怎么修？

答： 先说明危害：后台文件任意上传漏洞属于高危漏洞——攻击者可能利用它上传恶意文件，进而控制网站。织梦早期版本后台有大量富文本编辑器，上传功能存在安全隐患，需要尽快修复。

问： 怎么修？

答： 思路是：对出问题的上传处理文件做安全加固，限制上传文件类型、校验文件内容、防止上传可执行文件等。具体按补丁要求修改对应文件，堵住漏洞。

问： 还要注意什么？

答： 一是及时升级织梦到修复版本或应用官方补丁；二是修复后实测上传功能（正常图片、文件能传，恶意文件被拦）；三是定期检查后台有没有异常文件。