phpMyAdmin unserialize()调用跨站请求伪造漏洞

2010-01-21T00:00:00
ID SSV:18972
Type seebug
Reporter Root
Modified 2010-01-21T00:00:00

Description

BUGTRAQ ID: 37861 CVE(CAN) ID: CVE-2009-4605

phpMyAdmin是用PHP编写的工具,用于通过WEB管理MySQL。

phpMyAdmin使用了传送给scripts/setup.php脚本的configuration和v[0]输入参数来调用unserialize函数,远程攻击者可以通过提交恶意请求执行跨站请求伪造攻击,以其他用户的权限执行任意指令。

phpMyAdmin 2.11.x 厂商补丁:

phpMyAdmin

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

http://www.phpmyadmin.net/