🇰🇷 한글 설명
Adminer 4.6.1에서 4.8.0 버전 사이의 MySQL, MariaDB, PgSQL, SQLite 사용자에게 영향을 미치는 교차 사이트 스크립팅(XSS) 취약점입니다. 최신 브라우저의 엄격한 CSP가 적용되지 않거나 pdo_ 확장을 사용하는 경우 공격이 가능합니다. 이 취약점은 4.8.1 버전에서 패치되었습니다.
💡 쉬운 설명
데이터베이스 관리 도구인 Adminer의 특정 버전에서 해커가 악성 코드를 심을 수 있는 보안 약점이 발견되었습니다. 최신 브라우저를 사용하거나 설정을 변경하면 예방할 수 있지만, 가장 좋은 방법은 최신 버전으로 업데이트하는 것입니다.
🇺🇸 원문 (English)
Adminer is open-source database management software. A cross-site scripting vulnerability in Adminer versions 4.6.1 to 4.8.0 affects users of MySQL, MariaDB, PgSQL and SQLite. XSS is in most cases prevented by strict CSP in all modern browsers. The only exception is when Adminer is using a `pdo_` extension to communicate with the database (it is used if the native extensions are not enabled). In browsers without CSP, Adminer versions 4.6.1 to 4.8.0 are affected. The vulnerability is patched in version 4.8.1. As workarounds, one can use a browser supporting strict CSP or enable the native PHP extensions (e.g. `mysqli`) or disable displaying PHP errors (`display_errors`).
📍 영향받는 시스템
Adminer versions 4.6.1 to 4.8.0
⚔️ 공격 벡터
CSP가 없거나 pdo_ 확장을 사용하는 환경에서 악성 스크립트를 주입하여 실행
🛡️ 대응 방법
Adminer를 4.8.1 버전 이상으로 업데이트하거나, 네이티브 PHP 확장(mysqli 등)을 활성화하고 PHP 에러 표시를 비활성화함
🔧 검증 코드
출력된 결과에서 Adminer 버전이 4.6.1에서 4.8.0 사이인지 확인합니다.
curl -s http://<target_adminer_url>/ | grep -E 'Adminer [0-9]\.[0-9]\.[0-9]'