自己報告されたバージョン番号によると、リモートの Web サーバーでホストされている phpMyAdmin インストールは、4.0.10.1 より前の 4.0.x、4.1.14.2 より前の 4.1.x、または 4.2.6 より前の 4.2.x です。したがって、次の脆弱性の影響を受けます：

- 「TABLE_COMMENT」パラメーター入力は、スクリプト「libraries/structure.lib.php」で検証されておらず、クロスサイトスクリプティング攻撃を可能にする可能性があります。注意：この問題の影響を受けるのは、4.2.x ブランチです。（CVE-2014-4954）

- 「trigger」パラメーター入力は、スクリプト「libraries/rte/rte_list.lib.php」で検証されておらず、クロスサイトスクリプティング攻撃を可能にする可能性があります。（CVE-2014-4955）

- 「table」および「curr_column_name」パラメーター入力は、それぞれスクリプト「js/functions.js」および「js/tbl_structure.js」で検証されておらず、クロスサイトスクリプティング攻撃を可能にする可能性があります。（CVE-2014-4986）

- スクリプト「server_user_groups.php」には、リモートの攻撃者が MySQL ユーザーリストを取得し、アプリケーションの表示を改ざんする可能性があるエラーが含まれています。注意：この問題の影響を受けるのは、4.1.x および 4.2.x ブランチのみです。（CVE-2014-4987）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

リモートホストは、GLSA-201505-03 で説明されている脆弱性の影響を受けます（phpMyAdmin：複数の脆弱性）

phpMyAdmin に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

認証されていないリモートの攻撃者が、これらの脆弱性を悪用して、細工されたパラメーターを介して任意のローカルファイルの含有および実行を引き起こし、SQL コードを注入したり、クロスサイトスクリプティング攻撃を実行したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

phpMyAdmin 開発チームによる報告：

データベース構造ページのエスケープされていない HTML 出力による自己 XSS。

細工されたテーブルコメントを使用して、データベース構造ページに XSS を発生させることが可能です。

データベーストリガーページのエスケープされていない HTML 出力による自己 XSS。

データベーストリガーページにナビゲートする際に、細工されたトリガー名で XSS を発生させることが可能です。

AJAX 確認メッセージの複数の XSS。

細工された列名を使用して、テーブル構造ページの列を破棄する際に XSS を発生させることが可能です。細工されたテーブル名を使用して、テーブルオペレーションページのテーブルを破棄するか切り捨てる際に XSS を発生させることが可能です。

権限のないユーザーのために MySQL ユーザーリストへアクセスします。

権限のないユーザーが、MySQL ユーザーリストを表示し、それらの phpMyAdmin に表示されるタブを操作する可能性があります。

phpmyadmin に複数の脆弱性が発見され、修正されています：

4.2.6 より前の phpMyAdmin 4.2.x の libraries/structure.lib.php の PMA_getHtmlForActionLinks 機能でのクロスサイトスクリプティング（XSS）脆弱性によって、認証されているリモートユーザーが、データベース構造ページの構築中に不適切に処理される、細工されたテーブルのコメントによって、任意の Web スクリプトまたは HTML を注入できます（CVE-2014-4954）。

4.0.10.1 より前の 4.0.x、4.1.14.2 より前の 4.1.x、4.2.6 より前の 4.2.x の phpMyAdmin の libraries/rte/rte_list.lib.php の PMA_TRI_getRowForList 機能でのクロスサイトスクリプティング（XSS）脆弱性によって、認証されているリモートユーザーが、データベーストリガーページで不適切に処理される、細工されたトリガー名によって、任意の Web スクリプトまたは HTML を注入することができます（CVE-2014-4955）。

4.0.10.1 より前の 4.0.x、4.1.14.2 より前の 4.1.x、4.2.6 より前の 4.2.x の phpMyAdmin の js/functions.js での複数のクロスサイトスクリプティング（XSS）脆弱性によって、認証されているリモートユーザーが、AJAX 確認メッセージの構築中に不適切に処理される、細工された (1) テーブル名または (2) カラム名によって、任意の Web スクリプトまたは HTML を注入できます（CVE-2014-4986）。

4.1.14.2 より前の 4.1.x、4.2.6 より前の 4.2.x の phpMyAdmin の server_user_groups.php により、認証されているリモートユーザーが、意図しているアクセス制限をバイパスし、viewUsers リクエストを介して MySQL ユーザーリストを読み取ることができます（CVE-2014-4987）。

このアップグレードにより、最新の phpmyadmin バージョン（4.2.6）が提供され、これら脆弱性に対処します。

この phpMyAdmin の更新は、いくつかのセキュリティおよびセキュリティ以外の問題に対処します：

- これは phpMyAdmin のバージョンアップグレードです（bnc#892401）：（4.1.14.3 より）：

- sf#4501 [セキュリティ] テーブルブラウズページの XSS（CVE-2014-5273）

- sf#4502 [セキュリティ] enum 値エディターのセルフ XSS（CVE-2014-5273）

- sf#4503 [セキュリティ] モニターのセルフ XSS（CVE-2014-5273）

- sf#4505 [セキュリティ] 表示オペレーションページの XSS（CVE-2014-5274）

- sf#4504 [セキュリティ] クエリチャートのセルフ XSS#9;（CVE-2014-5273）

- sf#4517 [セキュリティ] 関連ビューの XSS（CVE-2014-5273）（4.1.14.2 より）：

- sf#4488 [セキュリティ] エスケープされていないテーブル名による XSS インジェクション（トリガー）（CVE-2014-4955）

- sf#4492 [セキュリティ] AJAX 確認メッセージの XSS（CVE-2014-4986）

- sf#4491 [セキュリティ] ユーザーグループ機能へのアクセス検証の欠如（CVE-2014-4987）（4.1.14.1 より）：

- sf#4464 [セキュリティ] ナビゲーション非表示の際のエスケープされていないデータベース／テーブル名による XSS インジェクション（CVE-2014-4349）（4.1.14.0 から 4.1.9.0 まで）：

- セキュリティ以外に関する多数のバグ修正のリストが下記にあります。 https://github.com/phpmyadmin/phpmyadmin/blob/MAINT_4_1_14/ChangeLog

ID	名前	製品	ファミリー	公開日	更新日	深刻度
76915	phpMyAdmin 4.0.x < 4.0.10.1/4.1.x < 4.1.14.2/4.2.x < 4.2.6 複数の脆弱性（PMASA-2014-4 - PMASA-2014-7）	Nessus	CGI abuses	2014/7/30	2022/4/11	medium
83912	GLSA-201505-03：phpMyAdmin：複数の脆弱性	Nessus	Gentoo Local Security Checks	2015/6/1	2021/1/11	medium
76600	FreeBSD：phpMyAdmin -- 複数の XSS 脆弱性、欠落した検証（3f09ca29-0e48-11e4-b17a-6805ca0b3d42）	Nessus	FreeBSD Local Security Checks	2014/7/20	2021/1/6	medium
76924	Mandriva Linux セキュリティアドバイザリ：phpmyadmin（MDVSA-2014:143）	Nessus	Mandriva Local Security Checks	2014/7/31	2021/1/6	medium
77432	openSUSE セキュリティ更新： phpMyAdmin（openSUSE-SU-2014 1069-1）	Nessus	SuSE Local Security Checks	2014/8/29	2021/1/19	medium

検出

プラグインの検索

medium

medium

medium

medium

medium