🇰🇷 한글 설명
PHPMiniAdmin 1.9.160630 버전에서 데이터베이스, 테이블, 컬럼 이름에 저장된 XSS 공격에 취약합니다. 공격자가 악의적인 스크립트를 포함한 이름으로 데이터베이스 객체를 생성하면, 관리자가 이를 조회할 때 스크립트가 자동 실행되어 계정 탈취 및 데이터 유출을 초래할 수 있습니다.
💡 쉬운 설명
PHPMiniAdmin에서 이름 입력창에 악의적인 명령어를 숨겨두면, 관리자가 볼 때마다 자동으로 실행됩니다. 이를 통해 해커가 관리자 권한을 탈취하거나 데이터베이스의 민감한 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
PHPMiniAdmin version 1.9.160630 is vulnerable to stored XSS in the name of databases, tables and columns resulting in potential account takeover and scraping of data (stealing data).
📍 영향받는 시스템
PHPMiniAdmin 1.9.160630 및 이전 버전
⚔️ 공격 벡터
데이터베이스/테이블/컬럼 생성 또는 수정 시 이름 필드에 JavaScript 페이로드를 입력하여 Stored XSS 공격 수행
🛡️ 대응 방법
PHPMiniAdmin을 최신 버전으로 업그레이드 또는 입력값에 대한 HTML 인코딩/필터링 적용
🔧 검증 코드
PHPMiniAdmin의 설치 경로가 반환되면 설치되어 있음을 의미하며, 버전은 해당 경로의 README나 소스코드에서 확인하면 됩니다.
find /var/www /opt -name "*phpmini*" 2>/dev/null | head -1