🇰🇷 한글 설명
phpMyAdmin 4.2.4 이전의 4.2.x 버전에서 데이터베이스 또는 테이블 이름에 포함된 악의적인 스크립트가 즐겨찾기 목록이나 최근 테이블 목록에 표시될 때 적절히 필터링되지 않아 발생하는 XSS 취약점입니다. 인증된 사용자가 이를 악용하여 다른 사용자의 브라우저에서 임의의 JavaScript 코드를 실행할 수 있습니다.
💡 쉬운 설명
phpMyAdmin에서 데이터베이스나 테이블 이름에 특수한 코드를 숨겨두면, 그 목록을 볼 때 그 코드가 실행되는 보안 문제입니다. 이를 통해 해커가 관리자 계정을 탈취하거나 중요한 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpMyAdmin 4.2.x before 4.2.4 allow remote authenticated users to inject arbitrary web script or HTML via a crafted (1) database name or (2) table name that is improperly handled after presence in (a) the favorite list or (b) recent tables.
📍 영향받는 시스템
phpMyAdmin 4.2.0 ~ 4.2.3
⚔️ 공격 벡터
인증된 사용자가 XSS 페이로드를 포함한 데이터베이스/테이블 이름으로 생성 후, 다른 사용자가 즐겨찾기/최근 목록을 조회할 때 스크립트 실행
🛡️ 대응 방법
phpMyAdmin을 4.2.4 이상으로 업그레이드하거나, 입력값에 대한 HTML 엔티티 인코딩 적용
🔧 검증 코드
버전이 4.2.4 이상이면 안전, 4.2.3 이하이면 업그레이드 필요. 버전 정보가 없으면 phpMyAdmin이 설치되지 않음
dpkg -l 2>/dev/null | grep phpmyadmin || rpm -qa 2>/dev/null | grep phpmyadmin || cat /usr/share/phpmyadmin/version.php 2>/dev/null | grep -i version