通过 7.7 在 YouPHPTube 中发现了一个问题。通过 live_stream_code POST 参数传递到 /plugin/LiveChat/getChat.json.php 的用户输入在用于构造 SQL 查询之前未正确清理（在 plugin/LiveChat/Objects/LiveChatObj.php 中的 getFromChat 中）。恶意用户可以利用这一点，例如通过带内 SQL 注入攻击从数据库中读取敏感数据。成功利用此漏洞需要启用实时聊天插件。

请关注厂商的修复版本，并及时更新到最新版本.