发布日期：2009-12-14
更新日期：2009-12-25

受影响系统：

Piwik Piwik <= 0.4.5

不受影响系统：

Piwik Piwik 0.5

描述：

---

BUGTRAQ  ID: 37312
CVE ID: CVE-2009-4137

Piwik是一款利用Php+MySQL技术构建的开源网页访问统计系统。

Piwik的core/Cookie.php文件中的loadContentFromCookie函数没有正确地过滤从Cookie所获得的字符串便调用了unserialize函数，这可能允许远程攻击者通过调用Zend Framework和Smarty中的多个函数导致执行任意PHP代码或上传任意文件。

<*来源：Stefan Esser （s.esser@ematters.de）
  
  链接：http://www.suspekt.org/2009/12/09/advisory-032009-piwik-cookie-unserialize-vulnerability/
*>

建议：

---

厂商补丁：

Piwik
-----
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://dev.piwik.org/trac/changeset/1637

浏览次数：3734
严重程度：0（网友投票）