🇰🇷 한글 설명
phpMyAdmin의 Tracking 기능에서 테이블, 컬럼, 인덱스 이름에 대한 입력값 검증이 부족하여 XSS 공격이 가능합니다. 원격 공격자가 악의적인 JavaScript를 삽입하여 사용자 세션을 탈취하거나 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
phpMyAdmin의 추적(Tracking) 기능에서 이름 입력 부분에 해로운 코드를 넣을 수 있습니다. 공격자가 이를 악용하면 관리자나 다른 사용자의 권한으로 행동할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in the Tracking feature in phpMyAdmin 3.3.x before 3.3.10.4 and 3.4.x before 3.4.4 allow remote attackers to inject arbitrary web script or HTML via a (1) table name, (2) column name, or (3) index name.
📍 영향받는 시스템
phpMyAdmin 3.3.x (3.3.10.4 미만), 3.4.x (3.4.4 미만)
⚔️ 공격 벡터
Tracking 기능의 테이블/컬럼/인덱스 이름 입력 필드에 XSS 페이로드 주입
🛡️ 대응 방법
phpMyAdmin을 3.3.10.4 또는 3.4.4 이상으로 긴급 업그레이드
🔧 검증 코드
설치된 phpMyAdmin 버전이 패치된 버전(3.3.10.4 이상 또는 3.4.4 이상)인지 확인, 취약 버전이면 즉시 업그레이드 필요
grep -r 'version' /usr/share/phpmyadmin/libraries/Config.class.php 2>/dev/null | grep -oE '3\.[34]\.[0-9]+' || dpkg -l | grep phpmyadmin | awk '{print $3}'