🇰🇷 한글 설명
phpMyAdmin 2.7.0의 server_privileges.php에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 원격 사용자가 dbname 및 checkprivs 파라미터를 통해 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 특수한 명령어를 입력해 데이터베이스의 내용을 마음대로 조작할 수 있는 취약점입니다. 다만, 이미 권한을 가진 사용자가 공격하는 방식이라 실제 위험성은 낮게 평가되기도 합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in server_privileges.php in phpMyAdmin 2.7.0 allows remote authenticated users to execute arbitrary SQL commands via the (1) dbname and (2) checkprivs parameters. NOTE: the vendor and a third party have disputed this issue, saying that the main task of the program is to support query execution by authenticated users, and no external attack scenario exists without an auto-login configuration. Thus it is likely that this issue will be REJECTED. However, a closely related CSRF issue has been assigned CVE-2005-4450
📍 영향받는 시스템
phpMyAdmin 2.7.0
⚔️ 공격 벡터
server_privileges.php의 dbname 및 checkprivs 파라미터에 악의적인 SQL 쿼리 삽입
🛡️ 대응 방법
최신 버전의 phpMyAdmin으로 업데이트하거나 입력값 검증 로직을 적용하십시오.
🔧 검증 코드
명령어 실행 결과 버전 정보에 2.7.0이 표시되면 해당 취약점에 노출된 버전입니다.
grep -r "2.7.0" /var/www/html/phpmyadmin/README 2>/dev/null | grep '2.7.0'