CVE-2016-9849
Publiée le 2016-12-11 · Dernière modification le 2026-06-17
Les versions plus anciennes de phpMyAdmin sont affectées par une faille où l'ajout d'un octet nul à un nom d'utilisateur permet à un attaquant de contourner les restrictions destinées à bloquer l'accès root. Un attaquant distant peut utiliser cela pour se connecter en tant qu'utilisateur privilégié sans avoir besoin d'un compte existant ni d'aucune interaction de l'utilisateur. Comme cela ne nécessite qu'un accès réseau à la page de connexion et est trivial à exécuter, cela pose un risque important pour la base de données sous-jacente.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in phpMyAdmin. It is possible to bypass AllowRoot restriction ($cfg['Servers'][$i]['AllowRoot']) and deny rules for username by using Null Byte in the username. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.