CVE-2016-9864
Publiée le 2016-12-11 · Dernière modification le 2026-06-17
Les versions plus anciennes de phpMyAdmin sont vulnérables aux injections SQL via la fonctionnalité de suivi lors du traitement de certains noms d'utilisateurs ou de tables. Un utilisateur authentifié disposant de privilèges restreints peut exploiter cette faille pour lire ou modifier la base de données de stockage de la configuration et potentiellement accéder à d'autres tables MySQL. Bien que cela nécessite un accès réseau et un identifiant valide, l'attaque est complexe à exécuter avec succès.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in phpMyAdmin. With a crafted username or a table name, it was possible to inject SQL statements in the tracking functionality that would run with the privileges of the control user. This gives read and write access to the tables of the configuration storage database, and if the control user has the necessary privileges, read access to some tables of the MySQL database. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.