CVE-2016-9849
KrytyczneStreszczenie
W phpMyAdmin odkryto problem, który pozwala na obejście ograniczenia AllowRoot oraz reguł odmowy dla nazwy użytkownika poprzez użycie Null Byte w nazwie użytkownika. Dotyczy to wersji 4.6.x (przed 4.6.5), 4.4.x (przed 4.4.15.9) oraz 4.0.x (przed 4.0.10.18).
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do systemu, co może prowadzić do poważnych naruszeń bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację phpMyAdmin do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in phpMyAdmin. It is possible to bypass AllowRoot restriction ($cfg['Servers'][$i]['AllowRoot']) and deny rules for username by using Null Byte in the username. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.