В данном случае уязвимость позволяет исполнять произвольный html/javascript код в контексте phpMyAdmin. Это связано с недостаточной проверкой входных параметров в db_create.php. Таким образом новосозданные базы могут иметь произвольные имена.
Сообщение на сайте phpMyAdmin: http://www.phpmyadmin.net/home_page/s...
