Un nuevo error en el paquete de software de administración de
base de datos permite a un atacante eliminar una base de datos al conseguir una
cuenta de usuario.
La vulnerabilidad encontrada trata de una falsificación de
solicitud entre sitios (CSRF). En este tipo de ataque, se le fuerza al navegador
de un usuario que ya esté conectado a realizar acciones ilegítimas, como cambiar la configuración
de su cuenta.
Según el informe elaborado, un atacante puede crear un enlace falso
que contenga la solicitud maliciosa para tal efecto.
El investigador informó a PHPMyAdminel 13 de junio de que existía
este error. Al comprobar que en el parche del 13 de septiembre no se había incluido
nada referente a esta vulnerabilidad, fue divulgado públicamente, ya que se habían cumplido los 90 días de rigor desde que se
le informó al propietario sobre la vulnerabilidad.
Después de que se informara públicamente de este fallo de seguridad, PHPMyAdmin
publicó un nuevo parche el 21 de septiembre que traía la solución a este
problema.
Desde Intec os recomendamos actualizar la versión de vuestro PHPMyAdmin a la más reciente si aún no lo habéis hecho.