🇰🇷 한글 설명
phpMyAdmin 4.2.6 이전의 4.2.x 버전에서 발생하는 XSS 취약점으로, libraries/structure.lib.php의 PMA_getHtmlForActionLinks 함수가 테이블 코멘트를 부적절하게 처리하여 인증된 사용자가 악의적인 스크립트를 주입할 수 있습니다. 데이터베이스 구조 페이지 생성 시 취약점이 노출되어 세션 탈취나 관리자 권한 탈취로 이어질 수 있습니다.
💡 쉬운 설명
phpMyAdmin에서 테이블에 악성 코드를 주석으로 입력하면, 다른 사용자가 그 페이지를 볼 때 그 코드가 실행되는 문제입니다. 이를 통해 관리자 계정을 탈취하거나 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the PMA_getHtmlForActionLinks function in libraries/structure.lib.php in phpMyAdmin 4.2.x before 4.2.6 allows remote authenticated users to inject arbitrary web script or HTML via a crafted table comment that is improperly handled during construction of a database structure page.
📍 영향받는 시스템
phpMyAdmin 4.2.0 ~ 4.2.5 (4.2.6 이후 버전은 패치됨)
⚔️ 공격 벡터
인증된 사용자가 테이블 코멘트 필드에 JavaScript 코드를 삽입하여 데이터베이스 구조 페이지 접근 시 스크립트 실행
🛡️ 대응 방법
phpMyAdmin을 4.2.6 이상으로 즉시 업그레이드하거나, 불가능한 경우 라이브러리 파일 수동 패치 적용 및 테이블 코멘트 입력 권한 제한
🔧 검증 코드
phpMyAdmin 버전이 4.2.6 이상이면 안전하고, 4.2.5 이하이면 즉시 업그레이드 필요. 버전이 표시되지 않으면 phpMyAdmin이 설치되지 않은 상태.
dpkg -l 2>/dev/null | grep phpmyadmin | awk '{print $2, $3}' || cat /usr/share/phpmyadmin/VERSION 2>/dev/null