CVE-2016-9866
KrytyczneStreszczenie
W phpMyAdmin odkryto problem związany z niewłaściwym usuwaniem tokena CSRF z URL zwrotnego akcji importu preferencji, gdy arg_separator różni się od domyślnej wartości '&'. Dotyczy to wersji 4.6.x (przed 4.6.5), 4.4.x (przed 4.4.15.9) oraz 4.0.x (przed 4.0.10.18).
Ocena ryzyka
Organizacje mogą być narażone na ataki CSRF, co może prowadzić do nieautoryzowanych działań w systemie phpMyAdmin. Wykorzystanie tej podatności może skutkować utratą danych lub nieautoryzowanym dostępem do systemu.
Rekomendacja
Zaleca się aktualizację phpMyAdmin do najnowszej wersji, aby usunąć tę podatność. Należy również rozważyć dodatkowe środki zabezpieczające, takie jak weryfikacja tokenów CSRF.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in phpMyAdmin. When the arg_separator is different from its default & value, the CSRF token was not properly stripped from the return URL of the preference import action. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.