Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-352

CVE-2026-119426

phpMyAdmin'de CSRF token atlatma ile /sql üzerinden keyfi SQL çalıştırma

phpMyAdmin

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, veritabanı yönetim arayüzü kullanan kişilerin farkında olmadan saldırganın komutlarını çalıştırmasına olanak tanıyabilir. Kullanıcının sadece zararlı bir bağlantıyı açması yeterli olabileceğinden risk yüksektir. Veritabanı kullanan sistemlerde hızlı yama ve erişim kontrolü önerilir.

ÖzetTürkçe

phpMyAdmin 5.2.3 ve önceki sürümlerinde, AJAX olmayan POST isteklerinde CSRF token kontrolleri atlanabilmektedir. Saldırgan, kimliği doğrulanmış bir kullanıcıyı hazırlanmış bir siteye yönlendirerek sql_query parametresi içeren isteği /sql veya /database/sql uzantılarına göndertebilir. Etki, http veya config kimlik doğrulama yöntemleri kullanılan kurulumlarla sınırlıdır.

Saldırgan ne yapabilir?

Saldırgan, kurbanın veritabanı yetkileriyle keyfi SQL sorguları çalıştırabilir; bu da veri okuma, değiştirme veya silme işlemlerine yol açabilir.

Kaynaktaki açıklama (İngilizce)

phpMyAdmin through 5.2.3 contains a cross-site request forgery vulnerability that allows remote attackers to execute arbitrary SQL by bypassing CSRF token checks on non-AJAX POST requests. Attackers can lure authenticated victims into submitting cross-site POSTs carrying sql_query to /sql or /database/sql, running SQL with the victim's database privileges under http or config authentication.

Ne yapmalı?

  1. Kaynak kod deposundaki yama veya yukarıda belirtilen sürüm 5.2.3 sonrası düzeltilmiş bir sürüme güncelleme yapın; güncel sürüm için resmi phpMyAdmin duyurularını kontrol edin. Genel öneri
  2. Güncelleme yapılamıyorsa, phpMyAdmin arayüzüne yalnızca güvenilir ağlardan ve gerekli kullanıcılar tarafından erişilmesini sağlayın. Genel öneri
  3. Yönetici ve kullanıcıların oturum açıkken şüpheli bağlantılara tıklamamasını sağlayın ve tarayıcı oturumlarını düzenli olarak kapatmalarını isteyin. Genel öneri

Ek önlemler

  • phpMyAdmin erişim loglarında /sql ve /database/sql uzantılarına yapılan beklenmedik POST isteklerini izleyin. Genel öneri
  • Veritabanı kullanıcılarına yalnızca gerekli yetkileri verin, böylece bir saldırının etkisi sınırlandırılsın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
phpMyAdmin ≤ 5.2.3 –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.