Thinksaas v2.1 Sql Injection

简要描述： 今天看到发布了2.1就去下载了个看看。 但是还是有洞没补。 详细说明： \app\article\action\admin\cate.php 这文件在admin目录下 是为了让是管理才能访问的? 但是我自己在前台注册了一个用户, 可以直接访问到。 难道这是传说中的越权? case "editdo": $cateid = intval$POST'cateid'; $catename = tsClean$POST'catename'; $new'article'-update'articlecate',array 'cateid'=$cateid, ,array...