可说欢喜 - 插件
type: channel
link: https://www.krsay.com/tag/%E6%8F%92%E4%BB%B6/
items: Typecho博客评论推送插件CommentPush
items: LoveKKComment 插件一处安全漏洞可直接获取密码和KEY
items: LoveKKComment 评论通知插件保存配置卡死解决方法

Typecho博客评论推送插件CommentPush
type: item
date: 2020-06-12T20:19:16+08:00
description: 评论邮件通知之前用的LoveKKComment有各种问题之前的一个bug反馈过后都快一年多了作者还是没更新?最近好像也用不了不推送邮件了，前天大佬@gaobinzhan 安利了他的插件CommentPush试了下果然好用 /滑稽使用方法：插件目录名字必须为 CommentPush （切记不能修改目录名，否则失效！！）把 CommentPush 整个目录拷贝到 Typecho 安装路径的 /usr/plugins 下面登录 Typecho 后台，启用插件，进行插件设置。目前支持推送功能：Server酱，Qmsg酱，阿里云邮件，SMTP邮件，企业微信机器人，钉钉机器人。推送日志记录自定义邮件推送模版部分功能截图：下载地址https://github.com/gaobinzhan/CommentPush 超级好用强烈安利~

LoveKKComment 插件一处安全漏洞可直接获取密码和KEY
type: item
date: 2019-03-26T08:48:00+08:00
description: 邮件通知前天博客收到回复的时候没有邮件通知，因为以前的邮箱密码忘记了一直没有配置邮件通知插件然后找回密码又莫名其妙500错误索性找了个新的看了一圈最近在更新的就这个LoveKKComment 插件在更新于是就他啦~漏洞详情接上篇LoveKKComment插件SMTP保存配置卡死在排查的时候发现debug默认日志保存文件后缀是txt当时留意了一下，因为txt在浏览器是可以直接访问的，今天在测试的时候又看了下debug.txt文件内容发现直接把SMTP 配置明文写在了里面，然后浏览器可以直接访问debug.txt文件绝对路径/usr/plugins/LoveKKComment/debug.txt不出意外阿里云推送 和 Send Cloud 的API USER及API KEY 也应该是明文的，并且Debug是默认启用的。这样就不只是会泄露访客的邮箱作者的邮箱还可以直接拿到邮箱的账户和密码。解决方法其实就是代码设计不严谨没做好防护过滤我能想到的方法：应该默认禁用Debug模式debug.txt使用随机的文件名生成文件后缀设置为.log 然后防火墙禁止直接访问.log文件其他一些禁止浏览器能直接访问文件的方案CVECVE-666基友王忘杰颁发 /滑稽

LoveKKComment 评论通知插件保存配置卡死解决方法
type: item
date: 2019-03-11T12:53:00+08:00
description: LoveKKComment 评论通知插件第一次安装的时候选择SMTP 会100%保存配置卡死，就算关闭配置检测也一样只要是SMTP 就会卡死解决方法选择 阿里云推送 或者 Send Cloud 随便填写然后按提示来其他选项不动然后保存，一切正常再点击配置选择并填写SMTP相关配置就可以保存了.插件地址：https://github.com/ylqjgm/LoveKKComment安全漏洞发现一处安全漏洞正在尝试联系作者，先联系作者再放出漏洞细节，漏洞影响挺大的。建议使用这个插件的朋友多留意下，漏洞细节单独开篇。