Phpmyadmin setup 页面配置不当

漏洞简述

该文件可能会公开敏感信息，这些信息可能帮助恶意用户准备更高级的攻击。建议从生产系统中删除或限制对此类文件的访问。

其安装在Web服务器上的接口界面,主要用于使用php来管理安装服务器上的后台数据库(MySQL数据库),但如果采用默认安装,敏感路径未做出处理,便会存在安全漏洞,最突出的是其setup脚本中存在着服务器端请求伪造漏洞。远程攻击者可利用该漏洞执行未授权的操作。

漏洞影响

phpMyAdmin 4.0.10.19之前的版本，4.4.15.10之前的4.4.x版本，4.6.6之前的4.6.x版本。

漏洞实例

如果用户未对phpmyadmin目录下的setup文件进行安全处理,那普通用户可以在不进行身份认证的情况下,便可以配置服务器信息(防范措施:不允许其他用户从公网访问phpMyAdmin目录或者禁止访问setup文件)

漏洞修复

该文件可能会公开敏感信息，这些信息可能帮助恶意用户准备更高级的攻击。建议从生产系统中删除或限制对此类文件的访问。
1、升级
2、对于敏感信息进行删除
3、对权限进行设置