🇰🇷 한글 설명
Adminer 5.4.3 미만 버전에서 데이터베이스 서버 버전 문자열을 검증 없이 스크립트 태그에 삽입하는 취약점이 발견되었습니다. 공격자가 조작된 MySQL 서버를 통해 악성 버전 문자열을 반환하면, CSP 보호를 우회하여 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
데이터베이스가 보내는 정보를 검사하지 않고 웹 페이지에 그대로 보여주다가 발생하는 문제입니다. 해커가 가짜 데이터베이스를 이용해 웹사이트에서 몰래 나쁜 명령어를 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
Adminer before 5.4.3 inserts unsanitized database server version strings into script tags with valid CSP nonces without proper validation. Attackers controlling a rogue MySQL server can return crafted version strings that break out of the JavaScript context and execute arbitrary code, bypassing Content Security Policy protections.
📍 영향받는 시스템
Adminer 5.4.3 미만 모든 버전
⚔️ 공격 벡터
조작된 버전 문자열을 반환하는 악성 MySQL 서버를 통한 XSS 및 코드 실행
🛡️ 대응 방법
Adminer를 최신 버전인 5.4.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 5.4.3 이상의 버전 정보가 포함되어 있는지 확인하십시오.
php -r 'echo "Adminer version check";' | grep -i '5.4.3' || echo 'Vulnerable or version unknown'