🇰🇷 한글 설명
phpMyAdmin 4.0.x, 4.1.x, 4.2.x의 여러 XSS 취약점으로, 원격 인증 사용자가 조작된 데이터베이스/테이블/컬럼 이름, ENUM 값, pma_fontsize 쿠키를 통해 임의의 웹 스크립트/HTML을 삽입할 수 있습니다. 다른 사용자의 세션을 탈취하거나 악의적 작업을 수행 가능합니다.
💡 쉬운 설명
phpMyAdmin에서 테이블이나 데이터베이스 이름에 악성 코드를 숨겨 다른 사용자가 클릭할 때 실행되게 하는 공격입니다. 사용자의 계정 정보나 데이터베이스 접근 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpMyAdmin 4.0.x before 4.0.10.6, 4.1.x before 4.1.14.7, and 4.2.x before 4.2.12 allow remote authenticated users to inject arbitrary web script or HTML via a crafted (1) database, (2) table, or (3) column name that is improperly handled during rendering of the table browse page; a crafted ENUM value that is improperly handled during rendering of the (4) table print view or (5) zoom search page; or (6) a crafted pma_fontsize cookie that is improperly handled during rendering of the home page.
📍 영향받는 시스템
phpMyAdmin 4.0.x (4.0.10.6 미만), 4.1.x (4.1.14.7 미만), 4.2.x (4.2.12 미만)
⚔️ 공격 벡터
인증된 사용자가 악성 이름의 데이터베이스/테이블/컬럼을 생성하거나 ENUM 값을 설정하여 다른 관리자 접속 시 XSS 실행
🛡️ 대응 방법
phpMyAdmin을 4.0.10.6, 4.1.14.7, 4.2.12 이상의 안전한 버전으로 즉시 업그레이드
🔧 검증 코드
설치된 phpMyAdmin 버전 확인 후 위의 취약 버전 범위(각 버전대 마지막 번호가 기준 이상)에 속하지 않는지 확인
dpkg -l | grep phpmyadmin || rpm -qa | grep phpmyadmin