🇰🇷 한글 설명
phpMyAdmin 2.11.2.1 이전 버전의 db_create.php에서 발생하는 XSS 취약점으로, CREATE DATABASE 권한이 있는 인증된 사용자가 POST 요청의 db 파라미터에 hex-encoded 형식의 IMG 태그를 삽입하여 임의의 스크립트를 실행할 수 있습니다. 이는 데이터베이스 생성 기능에서 사용자 입력을 제대로 검증하지 않아 발생합니다.
💡 쉬운 설명
phpMyAdmin 웹 도구에서 데이터베이스를 만들 때, 권한이 있는 사용자가 해로운 코드를 몰래 넣을 수 있는 문제입니다. 이 코드가 다른 사용자의 브라우저에서 실행되어 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in db_create.php in phpMyAdmin before 2.11.2.1 allows remote authenticated users with CREATE DATABASE privileges to inject arbitrary web script or HTML via a hex-encoded IMG element in the db parameter in a POST request, a different vulnerability than CVE-2006-6942.
📍 영향받는 시스템
phpMyAdmin 2.11.2.1 이전 버전
⚔️ 공격 벡터
CREATE DATABASE 권한이 있는 인증된 사용자가 POST 요청의 db 파라미터에 hex-encoded IMG 태그를 주입
🛡️ 대응 방법
phpMyAdmin을 2.11.2.1 이상으로 업그레이드하고 입력값 검증 및 HTML 인코딩을 적용
🔧 검증 코드
설치된 phpMyAdmin 버전이 2.11.2.1 이상인지 확인하여 버전이 낮으면 업그레이드 필요
dpkg -l phpmyadmin 2>/dev/null | grep -E 'phpmyadmin' | awk '{print $3}'