🇰🇷 한글 설명
phpMyAdmin의 js/functions.js 파일에서 테이블명과 컬럼명이 AJAX 확인 메시지 생성 시 부적절하게 처리되어 발생하는 XSS 취약점입니다. 원격 인증된 사용자가 악의적인 테이블/컬럼 이름을 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
phpMyAdmin에서 데이터베이스 테이블이나 열의 이름에 악성 코드를 숨겨서 입력하면, 관리자의 브라우저에서 그 코드가 실행될 수 있습니다. 인증된 사용자만 공격할 수 있어 위험도는 낮습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in js/functions.js in phpMyAdmin 4.0.x before 4.0.10.1, 4.1.x before 4.1.14.2, and 4.2.x before 4.2.6 allow remote authenticated users to inject arbitrary web script or HTML via a crafted (1) table name or (2) column name that is improperly handled during construction of an AJAX confirmation message.
📍 영향받는 시스템
phpMyAdmin 4.0.0-4.0.10, 4.1.0-4.1.14.1, 4.2.0-4.2.5
⚔️ 공격 벡터
데이터베이스 관리 권한으로 접속 후 악성 스크립트가 포함된 테이블/컬럼명 생성
🛡️ 대응 방법
phpMyAdmin을 4.0.10.1 이상, 4.1.14.2 이상, 4.2.6 이상으로 업그레이드
🔧 검증 코드
phpMyAdmin의 버전을 확인하여 4.0.10.1, 4.1.14.2, 4.2.6 이상인지 확인합니다. 위 버전보다 낮으면 업데이트 필요합니다.
grep -r 'VERSION' /usr/share/phpmyadmin/libraries/Config.class.php 2>/dev/null | head -1 || cat /usr/share/phpmyadmin/version.json 2>/dev/null || find /opt/phpmyadmin -name 'version.json' -exec cat {} \;