phpMyAdmin跨站请求伪造误差清静通告

宣布时间 2019-09-23

●误差编号和级别


CVE编号：CVE-2019-12922，，，，，，危险级别：中危，，，，，，CVSS分值：6.5


●影响版本


phpMyAdmin<= 4.9.0.1


●误差概述


phpMyAdmin是一个MySQL和MariaDB数据库的免费开源治理工具，，，，，，普遍用于治理WordPress、Joomla和许多其他内容治理平台建设的网站的数据库。 。。。。。。


克日，，，，，，清静研究职员Manuel Garcia Cardenas披露了phpMyAdmin的一个跨站请求伪造（CVE-2019-12922）误差。 。。。。。。攻击者可使用该误差诱使认证用户执行恶意操作。 。。。。。。当攻击者将恶意结构的URL发送给目的web治理员时，，，，，，若该web治理员已使用统一浏览器上岸了phpmyAdmin面板，，，，，，并翻开该链接，，，，，，即可执行URL包括的恶意请求删除目的效劳器上phpMyAdmin面板设置页面中所设置的效劳器。 。。。。。。


●误差验证


POC:使用 CSRF —删除主效劳器。 。。。。。。


<p>Deleting Server 1</p>

<img src="

http://server/phpmyadmin/setup/index.php?page=servers&mode=remove&id=1";

style="display:none;" />


●修复建议


官方暂未宣布针对此误差的修复版本。 。。。。。。


暂时缓解步伐：


用户可通过在每次挪用时使用token变量验证来对该误差举行防护。 。。。。。。


在维护职员对该误差举行修复前，，，，，，强烈建议相关的用户阻止点击任何可疑的链接造成危害，，，，，，请关注官方相关新闻，，，，，，以便实时升级phpMyAdmin至修复版原来防护此误差。 。。。。。。


●参考链接


https://thehackernews.com/2019/09/phpmyadmin-csrf-exploit.html

https://seclists.org/fulldisclosure/2019/Sep/23