Mandriva Linux 安全公告：phpmyadmin (MDVSA-2014:143)

medium Nessus 插件 ID 76924

语言：

简介

远程 Mandriva Linux 主机缺少安全更新。

描述

已在 phpmyadmin 中发现并修正了多种漏洞：

在低于 4.2.6 的 phpMyAdmin 4.2.x 中，libraries/structure.lib.php 中的 PMA_getHtmlForActionLinks 函数存在跨站脚本 (XSS) 漏洞，可允许经认证的远程用户通过构建的、在构建数据库结构页时未正确处理的表注释注入任意 Web 脚本或 HTML (CVE-2014-4954)。

在低于 4.0.10.1 的 phpMyAdmin 4.0.x、低于 4.1.14.2 的 phpMyAdmin 4.1.x 以及低于 4.2.6 的 phpMyAdmin 4.2.x 中，libraries/rte/rte_list.lib.php 的 PMA_TRI_getRowForList 函数中存在跨站脚本 (XSS) 漏洞，可允许经认证的远程用户通过构建的、在数据库触发页面上未正确处理的触发名称注入任意 Web 脚本或 HTML (CVE-2014-4955)。

在低于 4.0.10.1 的 phpMyAdmin 4.0.x、低于 4.1.14.2 的 phpMyAdmin 4.1.x 以及低于 4.2.6 的 phpMyAdmin 4.2.x 中，js/functions.js 中存在多种跨站脚本 (XSS) 漏洞，可允许经认证的远程用户通过构建的、在构建 AJAX 确认消息时未正确处理的 (1) 表名称或 (2) 列名注入任意 Web 脚本或 HTML (CVE-2014-4986)。

低于 4.1.14.2 的 phpMyAdmin 4.1.x 以及低于 4.2.6 的 phpMyAdmin 4.2.x 中的 server_user_groups.php 可允许经认证的远程用户绕过预期访问限制，并且通过 viewUsers 请求读取 MySQL 用户列表 (CVE-2014-4987)。

此升级提供了可修复这些漏洞的最新 phpmyadmin 版本 (4.2.6)。