phpMyAdmin Remote Code Execution Vulnerability — Setup script used to generate configuration can be fooled using a crafted POST request to include arbitrary PHP code in generated configuration file.
phpMyAdmin setup script contains a critical vulnerability allowing attackers to inject arbitrary PHP code into the configuration file through crafted POST requests. This enables complete remote code execution with web server privileges. Active exploitation exists with no official patch available.
تسمح هذه الثغرة الأمنية الحرجة للمهاجمين باستغلال سكريبت الإعداد في phpMyAdmin لحقن وتنفيذ كود PHP خبيث في ملف الإعداد المُنشأ. يمكن للمهاجم صياغة طلب POST خاص يخدع آلية التحقق ويدرج أوامر PHP ضارة تُنفذ عند تحميل ملف الإعداد. يؤدي الاستغلال الناجح إلى السيطرة الكاملة على خادم قواعد البيانات والوصول غير المصرح به للبيانات الحساسة. تشكل هذه الثغرة خطراً كبيراً خاصة مع وجود استغلالات نشطة وعدم توفر تصحيح رسمي.
يحتوي سكريبت إعداد phpMyAdmin على ثغرة حرجة تسمح للمهاجمين بحقن كود PHP عشوائي في ملف الإعداد من خلال طلبات POST مزيفة. يتيح ذلك تنفيذ كود عن بعد بصلاحيات خادم الويب. يوجد استغلال نشط للثغرة دون توفر تصحيح رسمي.
1. Immediately remove or restrict access to the phpMyAdmin setup script (setup.php) from production environments and implement IP whitelisting for administrative access only
2. Manually review and regenerate configuration files (config.inc.php) ensuring no malicious code exists, then set file permissions to read-only (444) to prevent unauthorized modifications
3. Upgrade to phpMyAdmin version 3.1.3.1 or later which addresses this vulnerability, and implement web application firewall rules to detect and block crafted POST requests targeting setup scripts
1. إزالة أو تقييد الوصول الفوري لسكريبت إعداد phpMyAdmin (setup.php) من بيئات الإنتاج وتطبيق قائمة بيضاء لعناوين IP للوصول الإداري فقط
2. مراجعة وإعادة إنشاء ملفات الإعداد (config.inc.php) يدوياً للتأكد من عدم وجود كود خبيث، ثم تعيين صلاحيات الملف للقراءة فقط (444) لمنع التعديلات غير المصرح بها
3. الترقية إلى phpMyAdmin الإصدار 3.1.3.1 أو أحدث الذي يعالج هذه الثغرة، وتطبيق قواعد جدار حماية تطبيقات الويب لاكتشاف وحظر طلبات POST المزيفة المستهدفة لسكريبتات الإعداد