Debian DLA-2154-1：phpmyadmin 安全更新

high Nessus 插件 ID 134771

语言：

简介

远程 Debian 主机缺少安全更新。

描述

针对 phpmyadmin 报告了以下程序包 CVE。

CVE-2020-10802

在 4.9.5 之前的 phpMyAdmin 4.x 中发现 SQL 注入漏洞，其中，生成在 libraries/classes/Controllers/Table/TableSearchController.php 进行搜索操作时所用的某些查询时，某些参数未正确转义。攻击者可生成构建的数据库或表名称。如果用户尝试对恶意数据库或表格执行某些搜索操作，则可能触发此攻击。

CVE-2020-10803

在 4.9.5 之前的 phpMyAdmin 4.x 中发现 SQL 注入漏洞，攻击者可利用此漏洞，通过检索和显示结果（tbl_get_field.php 和 libraries/classes/Display/Results.php 中），使用恶意代码发动 XSS 攻击。攻击者必须能够将构建的数据插入某些数据库表中，这些数据可在检索（例如通过“浏览”选项卡）时触发 XSS 攻击。

对于 Debian 8“Jessie”，已在版本 4:4.2.12-2+deb8u9 中修复这些问题。

建议您升级 phpmyadmin 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。