🇰🇷 한글 설명
phpMyAdmin 2.10.3의 여러 파라미터(unlim_num_rows, sql_query, pos, session_max_rows, username 등)에서 XSS 취약점이 발견되었습니다. 원격 공격자가 tbl_export.php, sql.php, server_privileges.php, main.php 등의 파일을 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
phpMyAdmin 관리 도구의 오래된 버전에서 공격자가 악의적인 스크립트를 삽입할 수 있는 보안 취약점입니다. 사용자의 세션 정보나 데이터베이스 정보를 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpMyAdmin 2.10.3 allow remote attackers to inject arbitrary web script or HTML via the (1) unlim_num_rows, (2) sql_query, or (3) pos parameter to (a) tbl_export.php; the (4) session_max_rows or (5) pos parameter to (b) sql.php; the (6) username parameter to (c) server_privileges.php; or the (7) sql_query parameter to (d) main.php. NOTE: vector 5 might be a regression or incomplete fix for CVE-2006-6942.7.
📍 영향받는 시스템
phpMyAdmin 2.10.3 이하 버전
⚔️ 공격 벡터
웹 요청의 URL 파라미터나 폼 입력에 HTML/JavaScript 코드를 삽입하여 다른 사용자의 브라우저에서 실행시키는 방식
🛡️ 대응 방법
phpMyAdmin을 최신 버전으로 업그레이드하고, 입력값 검증 및 출력 인코딩을 적절히 처리합니다.
🔧 검증 코드
phpMyAdmin 설치 디렉토리의 version.lib.php 파일에서 버전 정보를 확인합니다. 2.10.3 이하 버전이면 취약합니다.
grep -r "version" /path/to/phpmyadmin/libraries/version.lib.php 2>/dev/null | head -1