🇰🇷 한글 설명
phpMyAdmin 3.5.x 버전(3.5.3 이전)에서 이벤트, 프로시저, 트리거의 이름 필드에 악의적인 웹 스크립트나 HTML을 주입할 수 있는 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 사용자가 이를 악용하여 다른 관리자의 세션을 탈취하거나 무단 작업을 수행할 수 있습니다.
💡 쉬운 설명
phpMyAdmin 관리 도구에서 특정 항목의 이름에 악성 코드를 숨겨 넣을 수 있는 보안 취약점입니다. 로그인한 관리자가 이를 이용해 다른 관리자를 속이고 권한을 악용할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpMyAdmin 3.5.x before 3.5.3 allow remote authenticated users to inject arbitrary web script or HTML via a crafted name of (1) an event, (2) a procedure, or (3) a trigger.
📍 영향받는 시스템
phpMyAdmin 3.5.0 ~ 3.5.2 버전
⚔️ 공격 벡터
인증된 사용자가 이벤트/프로시저/트리거 생성 시 이름 필드에 JavaScript 코드를 주입하면, 다른 관리자가 해당 객체를 조회할 때 자동 실행됨
🛡️ 대응 방법
phpMyAdmin을 3.5.3 이상 버전으로 즉시 업그레이드하여 입력값 검증 강화 적용
🔧 검증 코드
현재 설치된 phpMyAdmin 버전이 3.5.0~3.5.2 범위면 VULNERABLE 출력, 3.5.3 이상이면 OK 출력
dpkg -l | grep phpmyadmin | awk '{print $3}' | grep -E '^3\.5\.[0-2]$' && echo 'VULNERABLE' || echo 'OK'