已在通过 Web 管理 MySQL 的工具 phpMyAdmin 中发现多个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2013-4995 经认证的用户可通过构建的 SQL 查询注入任意 Web 脚本或 HTML。

- CVE-2013-4996 可能通过导航面板中构建的标志 URL 或“信任的代理”列表中构建的条目进行跨站脚本攻击。

- CVE-2013-5002 经认证的用户可通过 Schema Export 中构建的 pageNumber 值注入任意 Web 脚本或 HTML。

- CVE-2013-5003 经认证的用户可通过缩放参数 PMD PDF 导出和 Schema Export 中的 pdf_page_number 参数，以 phpMyAdmin“控制用户”的身份执行任意 SQL 命令。

- CVE-2014-1879 经认证的用户可通过 Import 函数中构建的文件名注入任意 Web 脚本或 HTML。

远程主机受到 GLSA-201311-02 中所述漏洞的影响（phpMyAdmin：多种漏洞）

已在 phpMyAdmin 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

经过认证的远程攻击者可利用这些漏洞，以运行 phpMyAdmin 的进程的权限执行任意代码、注入 SQL 代码或执行跨站脚本和点击劫持攻击。
 变通方案：

目前无任何已知的变通方案。

已在 phpmyadmin 中发现并修正了多种漏洞：

- 由于执行 SQL 查询时的非转义 HTML 输出而导致 XSS (CVE-2013-4995)。

- 设置、图表显示、进程列表和徽标链接中存在 5 个 XSS 漏洞。如果提交构建的 version.json，可能引入 XSS（CVE-2013-4996、CVE-2013-4997）。

- 完整路径泄露漏洞（CVE-2013-4998、CVE-2013-5000）。

- 由于方案导出中的非转义 HTML 输出而导致自我 XSS (CVE-2013-5002)。

- SQL 注入漏洞，产生权限升级（控制用户）(CVE-2013-5003)。

此升级提供最新的 phpmyadmin 版本 (3.5.8.2) 以解决这些漏洞。

根据其自我标识的版本号，远程 Web 服务器上托管的 phpMyAdmin 为低于 3.5.8.2 的 3.5.x 或低于 4.0.4.2 的 4.0.x。因此，它受到以下漏洞的影响：

- 存在许多输入验证错误，可导致与“version.json”、文本到链接转换、方案导出、SQL 查询、设置、图表显示、进程列表和徽标连接有关的跨站脚本攻击。请注意，链接转换问题 PMASA-2013-13 (CVE-2013-5001) 仅影响 4.0.x 分支。（CVE-2013-4995、CVE-2013-4996、CVE-2013-4997、CVE-2013-5001、CVE-2013-5002）

- 存在若干错误，可允许通过错误消息泄露完整安装路径。此信息可被用于进行更多攻击。（CVE-2013-4998、CVE-2013-4999、CVE-2013-5000）

- “schema_export.php”和“pmd_pdf.php”文件中的若干错误可允许 SQL 注入攻击。
 (CVE-2013-5003)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
76433	Debian DSA-2975-1：phpmyadmin - 安全更新	Nessus	Debian Local Security Checks	2014/7/10	2021/1/11	medium
70753	GLSA-201311-02：phpMyAdmin：多种漏洞	Nessus	Gentoo Local Security Checks	2013/11/5	2021/1/6	medium
69154	Mandriva Linux 安全公告：phpmyadmin (MDVSA-2013:203)	Nessus	Mandriva Local Security Checks	2013/7/31	2021/1/6	medium
69184	phpMyAdmin 3.5.x < 3.5.8.2 / 4.0.x < 4.0.4.2 多种漏洞 (PMASA-2013-8 - PMASA-2013-15	Nessus	CGI abuses	2013/8/1	2024/11/22	medium

检测

插件搜索

medium

medium

medium

medium