🇰🇷 한글 설명
phpMyAdmin 3.4.x 및 3.5.x의 Database Structure 페이지에서 테이블 생성/수정 시 조작된 테이블 이름을 통해 인증된 사용자가 XSS 공격을 실행할 수 있습니다. Empty 또는 Drop 링크도 취약하며, 주입된 스크립트로 세션 탈취나 데이터 조작이 가능합니다.
💡 쉬운 설명
데이터베이스 관리 도구 phpMyAdmin에서 테이블 이름에 악성 코드를 숨겨 관리자를 속일 수 있습니다. 관리자가 이 테이블을 조작할 때 악성 코드가 실행되어 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in the Database Structure page in phpMyAdmin 3.4.x before 3.4.11.1 and 3.5.x before 3.5.2.2 allow remote authenticated users to inject arbitrary web script or HTML via (1) a crafted table name during table creation, or a (2) Empty link or (3) Drop link for a crafted table name.
📍 영향받는 시스템
phpMyAdmin 3.4.0~3.4.11.0, 3.5.0~3.5.2.1
⚔️ 공격 벡터
인증된 사용자가 테이블 생성/수정 시 테이블 이름에 <script> 태그 같은 JavaScript 코드를 포함시키는 저장형 XSS 공격
🛡️ 대응 방법
phpMyAdmin을 3.4.11.1 또는 3.5.2.2 이상으로 업그레이드
🔧 검증 코드
버전이 3.4.11.1 이상이거나 3.5.2.2 이상이면 패치됨. 3.4.0~3.4.11.0 또는 3.5.0~3.5.2.1 범위면 취약함.
dpkg -l phpmyadmin 2>/dev/null | grep phpmyadmin | awk '{print $3}'