FICHE CVE

CVE-2016-9865

Publiée le 2016-12-11 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Certaines versions spécifiques de phpMyAdmin (4.0.x, 4.4.x et 4.6.x) sont vulnérables à une faille dans la manière dont elles traitent les chaînes sérialisées. Un attaquant non authentifié disposant d'un accès réseau au serveur peut exploiter cette faille pour exécuter du code arbitraire, prenant potentiellement le contrôle total de l'application et de ses données. Comme cela ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables, l'attaque est relativement simple à mettre en œuvre.

CVSS 3.09.8 CRITIQUE

Type de faiblesse

CWE-254 Désérialisation non sûre · CWE-502

Publiée2016-12-11

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in phpMyAdmin. Due to a bug in serialized string parsing, it was possible to bypass the protection offered by PMA_safeUnserialize() function. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.