CVE-2016-6619
WysokieStreszczenie
W phpMyAdmin odkryto problem związany z możliwością wykonania ataku SQL injection poprzez funkcję preferencji interfejsu użytkownika. Dotyczy to wersji 4.6.x (przed 4.6.4), 4.4.x (przed 4.4.15.8) oraz 4.0.x (przed 4.0.10.17).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do konta użytkownika kontrolnego, co może prowadzić do poważnych naruszeń bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację phpMyAdmin do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa systemu.
Inne podatności w phpMyAdmin
Zobacz wszystkie- CVE-2017-1000018Wysokie
phpMyAdmin w wersjach 4.0, 4.4 i 4.6 jest podatny na atak typu DoS w statusie replikacji poprzez użycie specjalnie skonstruowanej nazwy tabeli.
- CVE-2017-1000017Wysokie
phpMyAdmin w wersjach 4.0, 4.4 i 4.6 jest podatny na słabość, która pozwala użytkownikowi z odpowiednimi uprawnieniami na połączenie z dowolnym serwerem MySQL.
- CVE-2017-1000014Wysokie
phpMyAdmin w wersjach 4.0, 4.4 i 4.6 jest podatny na słabość typu DoS w funkcjonalności edytowania tabel.
- CVE-2016-6621Wysokie
Skrypt instalacyjny phpMyAdmin w wersjach przed 4.0.10.19, 4.4.x przed 4.4.15.10 oraz 4.6.x przed 4.6.6 umożliwia zdalnym atakującym przeprowadzenie ataków typu server-side request forgery (SSRF) za pomocą nieokreślonych wektorów.
- CVE-2016-9864Wysokie
W phpMyAdmin odkryto problem, który pozwala na wstrzykiwanie zapytań SQL poprzez spreparowaną nazwę użytkownika lub tabeli w funkcjonalności śledzenia. Wykonane zapytania działają z uprawnieniami użytkownika kontrolnego, co umożliwia dostęp do tabel bazy danych konfiguracji oraz, w przypadku odpowiednich uprawnień, do niektórych tabel bazy danych MySQL.
- CVE-2016-9863Wysokie
W phpMyAdmin odkryto problem, który pozwala na przeprowadzenie ataku typu Denial of Service (DoS) poprzez bardzo duże żądanie do funkcji partycjonowania tabeli. Dotyczy to wszystkich wersji 4.6.x przed 4.6.5.
- CVE-2016-9862Wysokie
W phpMyAdmin odkryto problem, który pozwala na wstrzyknięcie BBCode na stronie logowania za pomocą odpowiednio skonstruowanego żądania logowania. Wszystkie wersje 4.6.x (przed 4.6.5) są podatne.
- CVE-2016-9861Wysokie
W phpMyAdmin odkryto problem związany z ograniczeniem w dopasowywaniu URL, co umożliwia obejście ochrony białej listy URL. Dotyczy to wersji 4.6.x (przed 4.6.5), 4.4.x (przed 4.4.15.9) oraz 4.0.x (przed 4.0.10.18).
- CVE-2016-6633Wysokie
W phpMyAdmin odkryto problem, który może prowadzić do zdalnego wykonania kodu w niektórych instalacjach PHP z włączonym rozszerzeniem dbase. Dotyczy to wersji 4.6.x (przed 4.6.4), 4.4.x (przed 4.4.15.8) oraz 4.0.x (przed 4.0.10.17).
- CVE-2016-6631Wysokie
W phpMyAdmin odkryto problem, który pozwala na zdalne wykonanie kodu, gdy aplikacja działa jako CGI. Użytkownik może przekazać ciąg zapytania, który jest wykonywany jako argument wiersza poleceń przez plik generator_plugin.sh.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in phpMyAdmin. In the user interface preference feature, a user can execute an SQL injection attack against the account of the control user. All 4.6.x versions (prior to 4.6.4), 4.4.x versions (prior to 4.4.15.8), and 4.0.x versions (prior to 4.0.10.17) are affected.