Piwik ofc_upload_image.php远程PHP代码执行漏洞

发表评论 (0) 查看评论

漏洞起因
输入验证错误
 
影响系统
Piwik 0.2.35 – 0.4.3
 
不受影响系统
Piwik 0.4.4
 
危害
远程攻击者可以利用漏洞以WEB权限执行任意PHP代码。
 
攻击所需条件
攻击者必须访问Piwik。
 
漏洞信息
Piwik是一款基于Php+MySQL技术构建的开源网页访问统计系统。
Piwik ofc_upload_image.php脚本不正确过滤传递给"name"和"HTTP_RAW_POST_DATA"参数，在使用这些参数建立文件前没有检查文件扩展名和文件内容，攻击者借此漏洞可建立以PHP扩展结尾的文件并以WEB权限执行任意PHP代码。
 
测试方法
 
厂商解决方案
Piwik 0.4.4已经修复此漏洞，建议用户下载使用：
http://piwik.org/
 
漏洞提供者
Piwik by Braeden Thomas

发表评论？

0 条评论。

发表评论