インストールされているバージョンのphpMyAdminは、PHPの「include」および「require_once」呼び出しに使用する前のユーザー入力をサニタイズできないため、複数のローカルファイルインクルードの欠陥による影響を受けます。具体的には、リモートの攻撃者が、「css/phpmyadmin.css.php」で使用される「GLOBALS [cfg] [ThemePath]」パラメーター、および「libraries/」で使用される「cfg [Server] [extension]」パラメーターの値を制御できます。このため、Webサーバープロセスの権限に従って、リモートホストの任意のファイルを読み取ったり、任意のコードを実行したりする可能性があります。

検出

phpMyAdmin < 2.6.1 pl1の複数のスクリプトファイルのインクルード

medium Nessus プラグイン ID 17221

変更ログが見つかりません