Multiple cross-site request forgery (CSRF) vulnerabilities in the setup process in phpMyAdmin 4.0.x before 4.0.10.10, 4.2.x before 4.2.13.3,

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• phpmyadmin phpmyadmin4.0.0
• phpmyadmin phpmyadmin4.0.1
• phpmyadmin phpmyadmin4.0.10
• phpmyadmin phpmyadmin4.0.10.2
• phpmyadmin phpmyadmin4.0.10.5
• phpmyadmin phpmyadmin4.0.10.6
• phpmyadmin phpmyadmin4.0.10.7
• phpmyadmin phpmyadmin4.0.10.8
• phpmyadmin phpmyadmin4.0.10.9
• phpmyadmin phpmyadmin4.0.2
• phpmyadmin phpmyadmin4.0.3
• phpmyadmin phpmyadmin4.0.4
• phpmyadmin phpmyadmin4.0.4.1
• phpmyadmin phpmyadmin4.0.4.2
• phpmyadmin phpmyadmin4.0.5
• phpmyadmin phpmyadmin4.0.6
• phpmyadmin phpmyadmin4.0.7
• phpmyadmin phpmyadmin4.0.8
• phpmyadmin phpmyadmin4.0.9
• phpmyadmin phpmyadmin4.2.0

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2009-1151Static code injection vulnerability in setup.php in phpMyAdmin 2.11.x before 2.11.9.5 and 3.x before 3.1.3.1 allows remote attackers to injeKEV
  98Срочно
• CVE-2018-12613An issue was discovered in phpMyAdmin 4.8.x before 4.8.2, in which an attacker can include (view and potentially execute) files on the serve
  65На этой неделе
• CVE-2016-5734phpMyAdmin 4.0.x before 4.0.10.16, 4.4.x before 4.4.15.7, and 4.6.x before 4.6.3 does not properly choose delimiters to prevent use of the p
  63На этой неделе
• CVE-2020-26935An issue was discovered in SearchController in phpMyAdmin before 4.9.6 and 5.x before 5.0.3.
  59В плане
• CVE-2012-5159phpMyAdmin 3.5.2.2, as distributed by the cdnetworks-kr-1 mirror during an unspecified time frame in 2012, contains an externally introduced
  52В плане
• CVE-2020-5504In phpMyAdmin 4 before 4.9.4 and 5 before 5.0.1, SQL injection exists in the user accounts page.
  47В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.