تم العثور على ثغرة أمنية عبر الموقع طلب تزوير (CSRF) في phpMyAdmin الإصدار 4.7.x (قبل الإصدار 4.7.7) والذي من خلاله يستطيع المهاجمون الضارون تنفيذ عمليات قاعدة البيانات الأساسية عن طريق خداع المستخدمين للنقر على عناوين URL التي تم إنشاؤها بشكل ضار. تم الجمع بين هذه الثغرة الأمنية تحت تسمية تعريف CVE-2017-1000499 والتي تم تعيينها إلى ثغرات CSRF السابقة في phpMyAdmin أيضًا.
هناك أربع إضافات أحدث تحت CVE-2017-1000499 مظلة الضعف CSRF. تتضمن هذه الأربعة ثغرة أمنية في تعديل كلمة مرور المستخدم الحالية ، وثغرة أمنية عشوائية في كتابة الملفات ، واسترداد البيانات عبر ثغرة أمنية في سلاسل اتصالات DNS ، وإفراغ جميع الصفوف من جميع نقاط الضعف في الجداول. نظرًا لأن phpMyAdmin يتعامل مع الجانب الإداري لـ MySQL ، فإن هذه الثغرات الأربع تعرض قاعدة البيانات بأكملها لمخاطر عالية ، مما يسمح للمستخدم الضار بتغيير كلمات المرور والوصول إلى البيانات وحذف البيانات وتنفيذ أوامر أخرى من خلال تنفيذ التعليمات البرمجية.
نظرًا لأن MySQL عبارة عن نظام إدارة قواعد بيانات علائقية مفتوح المصدر شائعًا ، فإن هذه الثغرات الأمنية (إلى جانب عدد لا يحصى من الثغرات الأمنية CVE-2017-100049 CSRF) ، تعرض تجربة البرنامج التي تم تبنيها جيدًا من قبل العديد من المؤسسات خاصة لسهولة استخدامها. وواجهة فعالة.
تتسبب هجمات CSRF في قيام مستخدم غير مدرك بتنفيذ أمر يقصده مهاجم ضار من خلال النقر فوقه للسماح له بالمتابعة. عادة ما يتم خداع المستخدمين ليعتقدوا أن تطبيقًا معينًا يطلب أذونات يتم تخزينه محليًا في مكان آمن أو أن الملف الجاري تنزيله هو ما يدعي أنه 'ب' في العنوان. يتسبب هذا النوع من عناوين URL التي تم إنشاؤها بشكل ضار في تنفيذ المستخدمين للأوامر التي يقصدها المهاجم والتي تؤدي دون علم إلى اختراق النظام.
هذا الضعف معروف للبائع ومن الواضح أنه لا يمكن منع المستخدم من تلقاء نفسه وهذا هو السبب في أنه يتطلب تحديثًا لبرنامج phpMyAdmin ليتم إصداره. يوجد هذا الخلل في إصدارات 4.7.x السابقة للإصدار 4.7.7 مما يعني أنه يجب على أولئك الذين ما زالوا يستخدمون الإصدارات القديمة على الفور تطوير إلى أحدث إصدار للتخفيف من هذه الثغرة الأمنية في الدرجة الحرجة.
