🇰🇷 한글 설명
phpMyAdmin의 네비게이션 패널, 데이터베이스/테이블 숨김, 추적 기능, GIS 시각화 기능에서 특정 입력값을 통해 XSS 공격이 가능합니다. 4.6.4 이전의 4.6.x 버전과 4.4.15.8 이전의 4.4.x 버전이 영향받습니다.
💡 쉬운 설명
phpMyAdmin에서 악의적으로 만든 데이터베이스 이름이나 쿼리를 입력하면 공격자의 악성 스크립트가 실행될 수 있습니다. 이를 통해 사용자의 세션 정보나 민감한 데이터가 도용될 수 있습니다.
🇺🇸 원문 (English)
XSS issues were discovered in phpMyAdmin. This affects navigation pane and database/table hiding feature (a specially-crafted database name can be used to trigger an XSS attack); the "Tracking" feature (a specially-crafted query can be used to trigger an XSS attack); and GIS visualization feature. All 4.6.x versions (prior to 4.6.4) and 4.4.x versions (prior to 4.4.15.8) are affected.
📍 영향받는 시스템
phpMyAdmin 4.6.x (< 4.6.4) 및 4.4.x (< 4.4.15.8)
⚔️ 공격 벡터
특정 데이터베이스 이름, 추적 쿼리, GIS 시각화 입력을 통한 XSS 페이로드 주입
🛡️ 대응 방법
phpMyAdmin을 4.6.4 이상 또는 4.4.15.8 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
phpMyAdmin 버전이 4.6.4 이상이거나 4.4.15.8 이상이면 안전하고, 그 이하 버전이면 취약점이 존재합니다.
dpkg -l | grep phpmyadmin 2>/dev/null || find /usr/share/phpmyadmin -name 'VERSION' -exec cat {} \; 2>/dev/null