abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  phpmyadmin-vqb-xss

phpmyadmin-vqb-xss

Class: Stored XSS Reach: Remote

phpMyAdmin 5.2.3 (RELEASE_5_2_3 / 962857e) - phpMyAdmin

js/src/designer/history.js innerHTML के साथ visual-query history बनाता है। Column names $('<div/>').text(...).html() से गुज़रते हैं। Table names नहीं गुज़रते। TableName अभी भी < और > की अनुमति देता है। साझा database पर CREATE TABLE वाला low-privilege account एक HTML identifier रखता है। जब कोई higher-privilege user Designer खोलता है, तो getTableName() पेज पर मौजूद होता है और DesignerHistory.display() उसे #ab में लिख देता है।

phpMyAdmin origin में एक stored XSS। PMASA-2025-1 के समान class, अलग feature। Check-tables headings escaped थे। यह path नहीं था।

Attacker क्या कर सकता है

एक HTML table name रखें, फिर प्रतीक्षा करें कि कोई higher-privilege user उस database पर Designer खोले और visual-query history render करे।

इस leftover पर बंद: unauthenticated access, OS RCE, और VQB OK button path। .small_tab_pref_click_opt table_name को pre-escape करता है और Twig उसे फिर से autoescape करता है, इसलिए वह click वर्तमान में getTab() में entities feed करता है। यह history.js का fix नहीं है। Column cells text-escaped रहते हैं (c<b id=pma-col>y, कोई <b id="pma-col"> node नहीं)।

Same pin: WebAuthn CustomServer leftover।

मैंने इसे कैसे खोजा

मैंने phpMyAdmin RELEASE_5_2_3 pin किया। PMASA-2025-1/2/3 पहले से 5.2.2 में हैं। Designer अभी भी VQB history HTML हाथ से बनाता है।

js/src/designer/history.js (js/dist/designer/history.js के रूप में shipped):

temp = historyArray[i].getTab();
str += '<h3 class="tiger"><a href="#">' + temp + '</a></h3>';
// ...
'<td width="175" style="padding-left: 5px">' + $('<div/>').text(historyArray[i].getColumnName()).html() + '<td>';

libraries/classes/Dbal/TableName.php केवल non-empty, max 64, no trailing space की जाँच करता है। < और > legal हैं। MySQL उन्हें quoted identifier में स्वीकार करता है।

templates/database/designer/database_tables.twig .small_tab_pref_1 पर designerTable.getTableName() को table_name में copy करता है। VQB option cell उसी name की pre-escaped copy का उपयोग करता है।

पहले से दर्ज गलत रास्ते: double-escaped option-button attribute को fix मानना (यह नहीं है - small_tab_pref_1 अभी भी raw name expose करता है, और history.js sink है); column helper को table names को cover करने वाला मानना; unauthenticated XSS का दावा; एक reverse shell। नाटक।

Lab

python3 phpmyadmin-vqb-xss-Abraxas-Labs.py
# or: cd lab && ./run.sh

लक्ष्य केवल http://127.0.0.1:19250। Images phpmyadmin:5.2.3 और mysql:8.0। Compose project phpmyadmin-vqb-xss। poc service में Playwright Chromium। Run के बाद stack tear down हो जाता है।

दो users, साझा shareddb। Low-priv creator चलाता है CREATE TABLE \tx` (`cy` INT)। Higher-priv victimphpMyAdmin में log in करता है औरquery=1के साथ Designer खोलता है। Livehistory.js container से copy है (h3-unescaped=yes, column helper मौजूद)। Chromium पेज पर getTableName()से table name के साथDesignerHistory.display()` call करता है।

SUCCESS phpmyadmin-vqb-xss h3-markup=yes col-escaped=yes how=live PMA-VQB-XSS-WITNESS