🇰🇷 한글 설명
phpMyAdmin 3.5.2.2 이전 버전에서 테이블 작업, 트리거 팝업, GIS 데이터 시각화 등 여러 기능에서 XSS 취약점이 발견되었습니다. 인증된 사용자가 특수 문자를 포함한 테이블명이나 데이터를 통해 악의적인 자바스크립트 코드를 삽입할 수 있습니다.
💡 쉬운 설명
phpMyAdmin 관리 도구에서 특정 이름의 테이블을 만들거나 데이터를 입력할 때 악의적인 코드를 숨길 수 있는 취약점입니다. 데이터베이스 관리 권한이 있는 사용자만 공격할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpMyAdmin 3.5.x before 3.5.2.2 allow remote authenticated users to inject arbitrary web script or HTML via a Table Operations (1) TRUNCATE or (2) DROP link for a crafted table name, (3) the Add Trigger popup within a Triggers page that references crafted table names, (4) an invalid trigger-creation attempt for a crafted table name, (5) crafted data in a table, or (6) a crafted tooltip label name during GIS data visualization, a different issue than CVE-2012-4345.
📍 영향받는 시스템
phpMyAdmin 3.5.0 ~ 3.5.2.1
⚔️ 공격 벡터
인증된 사용자가 테이블명, 트리거명, GIS 시각화 레이블 등에 <script> 태그나 이벤트 핸들러 포함
🛡️ 대응 방법
phpMyAdmin을 3.5.2.2 이상으로 업그레이드
🔧 검증 코드
설치된 phpMyAdmin 버전을 확인하여 3.5.0~3.5.2.1 범위에 있으면 취약하고, 3.5.2.2 이상이면 안전합니다.
dpkg -l phpmyadmin 2>/dev/null | grep phpmyadmin || rpm -qa | grep phpmyadmin