DedeCmsV5.6 本地包含里的上传漏洞

上传一个图片木马（只改后辍名为图片类型就行），即可在网站根目录生成 1.asa 文件

简单分析：
文件：select_soft_post.php
getUserID().’-‘.dd2char(MyDate(‘ymdHis’,$nowtme));
$fs = explode(‘.’, $uploadfile_name);
if(eregi($cfg_not_allowall, $fs[count($fs)-1]))
{
ShowMsg(“你上传了某些可能存在不安全因素的文件，系统拒绝操作！”,’javascript:;’);
exit();
}
$filename = $filename.’.’.$fs[count($fs)-1];
}

问题就出在 $newname 那里，没验证上传类型，但验证了非可上传类型

//这里强制限定的某些文件类型禁止上传
$cfg_not_allowall = "php|pl|cgi|asp|aspx|jsp|php3|shtm|shtml";

即可以上传非上面类型的文件，有时也并不鸡肋。。