所有5.0.x版本（5.0.0–5.0.24）均存在高危漏洞且已停止维护，必须升级至TP6.1 LTS或TP8.x；其中5.0.0–5.0.23含变量覆盖、SQL注入及HTTP方法伪造RCE，5.0.24仍存CVE-2018-20062等三大漏洞。

ThinkPHP 5.0 系列中，所有低于 5.0.24 的版本都存在已知高危漏洞，必须升级或修复。这不是建议，而是安全底线。

以下版本明确需处理：

存在变量覆盖与RCE漏洞的版本（5.0.0–5.0.23）

• 5.0.0：_method=__construct 可覆盖 Request 属性，触发 call_user_func 执行任意代码
• 5.0.13–5.0.15：Builder.php 中 parseData() 未过滤数组键值，导致 SQL 注入（无需登录、不依赖 debug）
• 5.0.0–5.0.23：Request::method() 对 _method 参数无白名单校验，可伪造 HTTP 方法并调用危险方法（如 invokefunction），构成 GetShell 链

5.0.24 本身也不安全

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

立即学习“PHP免费学习笔记（深入）”；

• 官方已终止维护，且确认存在三大高危漏洞：
  • HTTP 方法伪造（CVE-2018-20062）
  • 缓存文件包含型 RCE（CVE-2025-63888）
  • 反序列化链（Windows.php → Model → Output）
• 不是“最终安全版”，而是“最后一个补丁版”，不能视为修复完成

已停止支持，无例外

• 整个 5.0.x 系列自 2019 年起不再接收功能更新或安全响应
• 即使你当前是 5.0.24，也必须升级到 TP6.1 LTS 或 TP8.x 才具备持续安全支持

需要升级的版本范围可一句话概括：
5.0.0 到 5.0.24 全部需处理——低版本要升，5.0.24 要换代。