🇰🇷 한글 설명
phpMyAdmin 2.11.1의 scripts/setup.php에서 URL 인코딩이 제대로 처리되지 않을 때 쿼리 스트링을 통해 임의의 웹 스크립트나 HTML을 주입할 수 있는 XSS 취약점입니다. 원격 공격자가 악의적인 링크를 통해 사용자의 브라우저에서 악성 코드를 실행하거나 세션을 탈취할 수 있습니다.
💡 쉬운 설명
phpMyAdmin이라는 데이터베이스 관리 도구의 설정 페이지에 악의적인 코드를 몰래 삽입할 수 있는 보안 결함입니다. 공격자가 만든 특별한 링크를 클릭하면 악성 코드가 실행됩니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in scripts/setup.php in phpMyAdmin 2.11.1, when accessed by a browser that does not URL-encode requests, allows remote attackers to inject arbitrary web script or HTML via the query string.
📍 영향받는 시스템
phpMyAdmin 2.11.1 및 이전 버전
⚔️ 공격 벡터
setup.php의 쿼리 스트링 파라미터에 HTML/JavaScript 코드를 URL 인코딩 없이 직접 주입
🛡️ 대응 방법
phpMyAdmin을 2.11.2 이상으로 업그레이드하거나, setup.php에 대한 웹 접근을 인증/IP 제한으로 차단
🔧 검증 코드
출력된 버전이 2.11.1 이하면 취약 상태이며, 2.11.2 이상 또는 설치 안됨이면 안전합니다.
dpkg -l | grep phpmyadmin | awk '{print $3}' || echo 'not installed'