宝塔 phpmyadmin未授权访问漏洞

此文章仅供用于学习研究，严禁用于非法用途，否则后果自负。

漏洞简介

【宝塔面板】紧急安全更新通知，Linux面板7.4.2版本/Windows面板6.8版本存在安全隐患，其他版本无此风险。已发布紧急更新，请所有使用此版本的用户务必升级到最新版，更新方法，登录面板直接升级更新即可，如更新出现问题，请登录宝塔论坛反馈或者联系客服反馈

漏洞影响

Linux正式版7.4.2
Linux测试版7.5.13
Windows正式版6.8

安装了 phpmyadmin，mysql数据库。（其他版本不影响）

开放888且未配置http认证

FOFA语法

app="宝塔-Linux控制面板"

漏洞复现

凡是在宝塔面板安装了phpmyadmin数据库管理软件，只要通过对应方法，无需用户名密码即可操作数据库

其中888为默认端口，若自定义端口，便可能是其它端口，可以自行测试有没有该漏洞

访问 http://xxx.xxx.xxx.xxx:888/pma 即可

漏洞修复

升级版本，或使用安全版本

通过修改 pma 配置文件，屏蔽对应端口，关闭公共访问权限等方法也可解决