CVE-2009-1151criticalbajo ataqueCWE-94

CVE-2009-1151

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear phpMyAdmin+ Monitorear phpmyadmin

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 97%
de la publicación al arma88 días
Publicada en NVD26 mar
1ª PoC+88d
metasploit24 mar
CISA KEV+4747d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
Acción exigida por CISAplazo federal: 2022-04-15

Apply updates per vendor instructions.

En resumen

phpMyAdmin permite que atacantes inyecten código PHP malicioso en archivos de configuración a través de la interfaz de setup. Esto puede dar al atacante control total sobre el servidor de base de datos y todos sus datos.

Detalle técnico

Vulnerabilidad de inyección de código remoto en setup.php (CWE-94) afectando phpMyAdmin 2.11.x anterior a 2.11.9.5 y 3.x anterior a 3.1.3.1. La acción save no valida ni sanitiza adecuadamente la entrada, permitiendo que atacantes remotos ejecuten código PHP arbitrario mediante manipulación de archivos de configuración, resultando en compromiso total del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Static code injection vulnerability in setup.php in phpMyAdmin 2.11.x before 2.11.9.5 and 3.x before 3.1.3.1 allows remote attackers to inject arbitrary PHP code into a configuration file via the save action.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.