phpMyAdmin 3.4.x < 3.4.11.1/3.5.x < 3.5.2.2の複数のXSS（PMASA-2012-4）
low Nessus プラグイン ID 61659
Language:
概要
リモート Web サーバーは、複数のクロスサイトスクリプティング脆弱性の影響を受ける PHP アプリケーションをホストします。説明
自己認識されたバージョン番号によると、リモートの Web サーバーでホストされている phpMyAdmin のインストールは、複数のクロスサイトスクリプティングの脆弱性による影響を受けます。細工されたテーブル名を使用して、次のページ/状態で問題を引き起こすことが可能です：- 細工された名前付きのテーブルの作成、あるいは細工されたテーブル名の Empty リンクおよび Drop リンクの使用による、Database Structure ページ。
- 「Empty the table（TRUNCATE）」リンクおよび「Delete the table（DROP）」リンクの使用による、細工されたテーブルの Table Operations ページ。
- 「Add Trigger」ポップアップを開いた際に、細工された名前を持つテーブルを含むデータベースの Triggers ページ。
- 無効な定義を持つ、細工された名前のテーブルに対するトリガーを作成した場合。
- 細工されたラベル名を持つ GIS データを視覚化した場合。
注意：バージョン 3.4.x は Database Structure ページでの問題のみの影響を受けるのに対して、バージョン 3.5.x は記載された全ての問題の影響を受けます。
ソリューション
phpMyAdmin 3.4.11.1 / 3.5.2.2 または以降にアップグレードしてください。または、ベンダーのセキュリティアドバイザリで言及されているパッチを適用してください。参考資料
http://www.phpmyadmin.net/home_page/security/PMASA-2012-4.php
プラグインの詳細
深刻度: Low
ID: 61659
ファイル名: phpmyadmin_pmasa_2012_4.nasl
バージョン: 1.12
タイプ: remote
ファミリー: CGI abuses : XSS
公開日: 2012/8/24
更新日: 2022/4/11
設定: パラノイドモードの有効化, 徹底したチェックを有効にする
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.0
CVSS v2
リスクファクター: Low
基本値: 3.5
現状値: 3
ベクトル: CVSS2#AV:N/AC:M/Au:S/C:N/I:P/A:N
脆弱性情報
CPE: cpe:/a:phpmyadmin:phpmyadmin
必要な KB アイテム: www/PHP, www/phpMyAdmin, Settings/ParanoidReport
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトの容易さ: No exploit is required
パッチ公開日: 2012/8/16
脆弱性公開日: 2012/8/16
参照情報
CVE: CVE-2012-4345, CVE-2012-4579