DedeCms V5.1 tag.php注入漏洞

if(isset($_SERVER["QUERY_STRING"])){
$tag = trim($_SERVER["QUERY_STRING"]); //得到GET的参数
$tags = explode(’/’,$tag); //以“/”分隔为数组$tags
$tag = $tags[1]; //取数组$tags的第二个元素
if(count($tags)>3) $PageNo = intval($tags[2]);
}else{
$tag = "";
}
$tag = urldecode($tag); //对变量$tag做URL解码处理，%27解码后就成了“’”
//如果没有Tag或Tag不合法，显示所有Tag
if($tag=="" || $tag!=addslashes($tag) ){ //如果$tag为空或有’、"、\等字符则执行
$dlist = new TagList($tag,’tag.htm’); //创建类TagList的实例,$tag传给其构造函数，此时$tag可能包含“’”
}
//如果有Tag，显示文档列表
else{
$dlist = new TagList($tag,’taglist.htm’);
}
类TagList相关代码：(./include/inc_taglist_view.php)
class TagList
{
..
var $Tag;
..
//php5构造函数
function __construct($keyword,$templet) //$keyword=$tag
{
..
$this->Tag = $keyword; //$this->Tag=$tag
..
if($this->Tag!=’’)
{
$this->TagInfos = $this->dsql->GetOne("Select * From `cms_tag_index` where tagname like ’{$this->Tag}’ "); //查询执行，漏洞产生！
}