abraxas/phpmyadmin-vqb-xssphpMyAdmin 5.2.3 – Hoch – Remote – XSS – Designer Visual Query Builder
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · phpmyadmin-vqb-xss
Write-up: https://abraxaslabs.tech/research/phpmyadmin-vqb-xss
Klasse: Stored XSS Reichweite: Remote
phpMyAdmin 5.2.3 (RELEASE_5_2_3 / 962857e) - phpMyAdmin
js/src/designer/history.js baut den Verlauf visueller Abfragen mit innerHTML auf. Spaltennamen laufen durch $('<div/>').text(...).html(). Tabellennamen nicht. TableName erlaubt weiterhin < und >. Ein Konto mit geringen Rechten und CREATE TABLE auf einer gemeinsam genutzten Datenbank platziert einen HTML-Bezeichner. Wenn ein Benutzer mit höheren Rechten den Designer öffnet, liegt getTableName() auf der Seite und DesignerHistory.display() schreibt ihn in #ab.
Ein Stored XSS im phpMyAdmin-Origin. Gleiche Klasse wie PMASA-2025-1, anderes Feature. Überschriften von Check-tables wurden escaped. Dieser Pfad nicht.
| ID | noch keine CVE |
| Klasse | Stored XSS |
| Reichweite | Remote (authentifiziertes CREATE TABLE; Opfer öffnet Designer) |
| CWE | CWE-79 |
| CVSS | Hoch: 8.0 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N |
| Produkt | phpMyAdmin |
| Betroffen | 5.2.3 Tag RELEASE_5_2_3 (962857e4f63d42e38f11ff4d63f5e722018add76) |
| Auth | authentifiziert. Angreifer benötigt CREATE TABLE auf einer Datenbank, die das Opfer im Designer öffnet |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | nur 127.0.0.1 |
Einen HTML-Tabellennamen platzieren und dann darauf warten, dass ein Benutzer mit höheren Rechten den Designer auf dieser Datenbank öffnet und den Verlauf visueller Abfragen rendert.
| Recht | Methode / Sink | Recon / Integrität / Verfügbarkeit | Im Lab nachgewiesen oder abgeleitet |
|---|---|---|---|
| Markup in den phpMyAdmin-Origin einschleusen | DesignerHistory.display() verkettet getTab() in das innerHTML von #ab | Integrität des Opfer-Origins | Im Lab nachgewiesen. Live history.js auf phpmyadmin:5.2.3. <h3> enthielt <i id="pma-vqb"> |
Aus einem Designer-Attribut table_name ausbrechen | database_tables.twig small_tab_pref_1 verwendet designerTable.getTableName() | Recon des rohen MySQL-Namens im Designer-DOM | Im Lab nachgewiesen, lesbar als roher Bezeichner |
Das Session-Cookie des Opfers und das CSRF-token auslesen | Same-Origin-Skript, sobald der Verlauf gerendert wird | Recon der PMA-Session des Opfers | Abgeleitet aus Stored XSS im PMA-Origin. Dieses Lab verwendet einen <i>-Marker, kein Skript |
| SQL ausführen, Benutzer verwalten, exportieren, als das MySQL-Konto des Opfers | Token-gestütztes POST /sql, /server/privileges, Export | Integrität von allem, was dieses MySQL-Konto erreichen kann | Abgeleitet. Gleiche Auswirkungsklasse wie PMASA-2025-1 |
| 2FA / userconfig ändern | POST /config/set als das Opfer | Integrität des Preference-Store des Opfers | Abgeleitet. Verwandter Rest, nicht dieses Lab |
Ausgeschlossen bei diesem Rest: unauthentifizierter Zugriff, OS-RCE und der Pfad über die OK-Schaltfläche der VQB. .small_tab_pref_click_opt escaped table_name vorab und Twig escaped es erneut automatisch, sodass dieser Klick derzeit Entities in getTab() einspeist. Das ist keine Behebung von history.js. Spaltenzellen bleiben text-escaped (c<b id=pma-col>y, kein <b id="pma-col">-Knoten).
Gleicher Pin: WebAuthn CustomServer leftover.
Ich habe phpMyAdmin RELEASE_5_2_3 gepinnt. PMASA-2025-1/2/3 sind bereits in 5.2.2 enthalten. Der Designer baut das VQB-Verlaufs-HTML weiterhin von Hand auf.
js/src/designer/history.js (ausgeliefert als js/dist/designer/history.js):
temp = historyArray[i].getTab();
str += '<h3 class="tiger"><a href="#">' + temp + '</a></h3>';
// ...
'<td width="175" style="padding-left: 5px">' + $('<div/>').text(historyArray[i].getColumnName()).html() + '<td>';
libraries/classes/Dbal/TableName.php prüft nur auf Nicht-Leerheit, maximal 64 Zeichen und kein abschließendes Leerzeichen. < und > sind zulässig. MySQL akzeptiert sie in einem quoted identifier.
templates/database/designer/database_tables.twig kopiert designerTable.getTableName() nach table_name auf .small_tab_pref_1. Die VQB-Optionszelle verwendet eine vorab escapte Kopie desselben Namens.
Bereits dokumentierte Irrwege: das doppelt escapte Options-Button-Attribut als Fix zu betrachten (das ist es nicht – small_tab_pref_1 legt weiterhin den rohen Namen offen, und history.js ist die Senke); den Spalten-Helper als Abdeckung für Tabellennamen zu betrachten; unauthentifiziertes XSS zu behaupten; eine Reverse Shell. Theater.
python3 phpmyadmin-vqb-xss-Abraxas-Labs.py
# or: cd lab && ./run.sh
Nur http://127.0.0.1:19250 anvisieren. Images phpmyadmin:5.2.3 und mysql:8.0. Compose-Projekt phpmyadmin-vqb-xss. Playwright Chromium im poc-Service. Der Stack wird nach dem Lauf abgebaut.
Zwei Benutzer, gemeinsame shareddb. Der Benutzer mit geringen Rechten creator führt CREATE TABLE \tx` (`cy` INT)aus. Der Benutzer mit höheren Rechtenvictimmeldet sich bei phpMyAdmin an und öffnet den Designer mitquery=1. Das live geladene history.js ist die Kopie aus dem Container (h3-unescaped=yes, Spalten-Helfer vorhanden). Chromium ruft DesignerHistory.display()mit dem Tabellennamen ausgetTableName()` auf der Seite auf.
Ergebnis: Das innerHTML von #ab h3.tiger ist <a href="#">t<i id="pma-vqb">x</i></a>. Der Text der Spalten-td ist c<b id=pma-col>y ohne b#pma-col-Knoten.
SUCCESS phpmyadmin-vqb-xss h3-markup=yes col-escaped=yes how=live PMA-VQB-XSS-WITNESS
getTab() mit $('<div/>').text(temp).html() oder Functions.escapeHtml escapen, bevor es in das <h3> konkateniert wird. Verlassen Sie sich nicht auf die doppelte Kodierung eines Attributs durch Twig. Behalten Sie den Spaltennamen-Helper als Vorbild bei.
962857e4f63d42e38f11ff4d63f5e722018add76)js/src/designer/history.jslibraries/classes/Dbal/TableName.phpGNU Affero GPL v3.0. Siehe LICENSE. Nur Loopback-Lab. Keine Gewährleistung.