🇰🇷 한글 설명
phpMyAdmin 3.x의 설정 스크립트에서 서버 이름 입력값이 제대로 검증되지 않아 발생하는 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자는 악의적인 자바스크립트 코드를 삽입하여 설정 페이지에 접근하는 사용자의 브라우저에서 실행되게 할 수 있습니다.
💡 쉬운 설명
phpMyAdmin 설정 페이지에서 서버 이름을 입력할 때, 해로운 코드를 숨겨서 보낼 수 있습니다. 이 코드가 실행되면 사용자의 정보를 훔치거나 다른 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in setup/frames/index.inc.php in the setup script in phpMyAdmin 3.x before 3.3.7 allows remote attackers to inject arbitrary web script or HTML via a server name.
📍 영향받는 시스템
phpMyAdmin 3.0 ~ 3.3.6 (3.3.7 이상에서 수정됨)
⚔️ 공격 벡터
설정 페이지의 서버 이름 필드에 <script> 태그 등 HTML/JavaScript 코드를 입력하여 XSS 실행
🛡️ 대응 방법
phpMyAdmin을 3.3.7 이상으로 업그레이드하거나 설정 스크립트 접근을 제한하고 입력값 검증 강화
🔧 검증 코드
설치된 phpMyAdmin의 경로와 설정 파일을 찾은 후 버전 정보를 확인하여 3.3.7 이상인지 검증
grep -r 'phpMyAdmin' /var/www/*/setup.php 2>/dev/null | head -1