🇰🇷 한글 설명
phpMyAdmin 4.1.7 이전 버전의 import.php에서 발견된 XSS 취약점으로, 인증된 사용자가 악의적인 파일명을 통해 임의의 웹 스크립트나 HTML 코드를 주입할 수 있습니다. 파일 임포트 기능에서 사용자 입력을 적절히 검증하지 않아 발생하는 문제입니다.
💡 쉬운 설명
phpMyAdmin에서 파일을 업로드할 때 파일명을 검증하지 않아 악성 코드가 실행될 수 있는 보안 문제입니다. 악의적인 사용자가 특수한 이름의 파일을 업로드하면 다른 사용자의 브라우저에서 원하지 않는 행동을 수행하게 할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in import.php in phpMyAdmin before 4.1.7 allows remote authenticated users to inject arbitrary web script or HTML via a crafted filename in an import action.
📍 영향받는 시스템
phpMyAdmin 4.1.7 이전 모든 버전
⚔️ 공격 벡터
인증된 사용자가 import.php의 filename 파라미터에 XSS 페이로드를 포함한 파일명으로 파일 임포트 시 공격
🛡️ 대응 방법
phpMyAdmin을 4.1.7 이상 버전으로 업그레이드하거나, import.php에서 filename 입력값에 대한 HTML 인코딩 및 검증 추가
🔧 검증 코드
설치된 phpMyAdmin의 버전이 4.1.7 이상인지 확인하면 됩니다. 4.1.7 미만이면 취약점이 있고, 그 이상이면 패치된 상태입니다.
dpkg -l phpmyadmin 2>/dev/null | grep '^ii' || rpm -qa phpmyadmin 2>/dev/null