远程主机受到 GLSA-201505-03 中所述漏洞的影响（phpMyAdmin：多个漏洞）

    已在 phpMyAdmin 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    经认证的远程攻击者可利用这些漏洞，通过构建的参数来包括和执行任意本地文件、注入 SQL 代码或实施跨站脚本攻击。
  变通方案：

    目前无任何已知的变通方案。

根据其自我报告的版本号，远程 Web 服务器上托管的 phpMyAdmin 安装为低于 4.0.10.1 的 4.0.x、低于 4.1.14.2 的 4.1.x 或低于 4.2.6 的 4.2.x。因此，它受到以下漏洞的影响：

- “TABLE_COMMENT”参数输入未在脚本“libraries/structure.lib.php”中进行验证，可允许跨站脚本攻击。请注意，此问题影响 4.2.x 分支。(CVE-2014-4954)

- “trigger”参数输入未在脚本“libraries/rte/rte_list.lib.php”中进行验证，可允许跨站脚本攻击。(CVE-2014-4955)

- “table”和“curr_column_name”参数输入未在脚本“js/functions.js”和“js/tbl_structure.js”中分别进行验证，可允许跨站脚本攻击。(CVE-2014-4986)

- 脚本“server_user_groups.php”含有一个错误，可允许远程攻击者获取 MySQL 用户列表，并可能对应用程序显示作出更改。请注意，此问题仅影响 4.1.x 和 4.2.x 分支。(CVE-2014-4987)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

phpMyAdmin 开发团队报告：

由于未转义数据库结构页面中的 HTML 输出造成的 Self-XSS。

使用构建的表注释，可以在数据库结构页面中触发 XSS。

由于未转义数据库触发器页面中的 HTML 输出造成的 Self-XSS。

导航到数据库触发器页面时，可通过构建的触发器名称触发 XSS。

AJAX 确认消息中的多种 XSS。

使用构建的列名称，可以在丢弃表结构页面中的列时触发 XSS。使用构建的表名称，可以在丢弃或截断表操作页面中的表时触发 XSS。

非特权用户对 MySQL 用户列表的访问权限。

非特权用户可查看 MySQL 用户列表和操纵其 phpMyAdmin 中显示的选项卡。

已在 phpmyadmin 中发现并修正了多种漏洞：

在低于 4.2.6 的 phpMyAdmin 4.2.x 中，libraries/structure.lib.php 中的 PMA_getHtmlForActionLinks 函数存在跨站脚本 (XSS) 漏洞，可允许经认证的远程用户通过构建的、在构建数据库结构页时未正确处理的表注释注入任意 Web 脚本或 HTML (CVE-2014-4954)。

在低于 4.0.10.1 的 phpMyAdmin 4.0.x、低于 4.1.14.2 的 phpMyAdmin 4.1.x 以及低于 4.2.6 的 phpMyAdmin 4.2.x 中，libraries/rte/rte_list.lib.php 的 PMA_TRI_getRowForList 函数中存在跨站脚本 (XSS) 漏洞，可允许经认证的远程用户通过构建的、在数据库触发页面上未正确处理的触发名称注入任意 Web 脚本或 HTML (CVE-2014-4955)。

在低于 4.0.10.1 的 phpMyAdmin 4.0.x、低于 4.1.14.2 的 phpMyAdmin 4.1.x 以及低于 4.2.6 的 phpMyAdmin 4.2.x 中，js/functions.js 中存在多种跨站脚本 (XSS) 漏洞，可允许经认证的远程用户通过构建的、在构建 AJAX 确认消息时未正确处理的 (1) 表名称或 (2) 列名注入任意 Web 脚本或 HTML (CVE-2014-4986)。

低于 4.1.14.2 的 phpMyAdmin 4.1.x 以及低于 4.2.6 的 phpMyAdmin 4.2.x 中的 server_user_groups.php 可允许经认证的远程用户绕过预期访问限制，并且通过 viewUsers 请求读取 MySQL 用户列表 (CVE-2014-4987)。

此升级提供了可修复这些漏洞的最新 phpmyadmin 版本 (4.2.6)。

此 phpMyAdmin 更新解决了多个安全和非安全问题：

- 这是 phpMyAdmin 版本升级 (bnc#892401)：（从 4.1.14.3）：

- sf#4501 [安全性] 表格浏览页面中的 XSS (CVE-2014-5273)

- sf#4502 [安全性] 枚举值编辑器中的 Self-XSS (CVE-2014-5273)

- sf#4503 [安全性] 监控中的 Self-XSS (CVE-2014-5273)

- sf#4505 [安全性] 查看操作页面中的 XSS (CVE-2014-5274)

- sf#4504 [安全性] 查询表&#9; 中的 Self-XSS (CVE-2014-5273)

- sf#4517 [安全性] 关系视图中的 XSS (CVE-2014-5273)（从 4.1.14.2）：

- sf#4488 [安全性] 由于非转义表名（触发器）产生的 XSS 注入 (CVE-2014-4955)

- sf#4492 [安全性] AJAX 确认消息中的 XSS (CVE-2014-4986)

- sf#4491 [安全性] 缺少访问用户组功能的验证 (CVE-2014-4987)（从 4.1.14.1）：

- sf#4464 [安全性] 由于在导航隐藏中存在非转义的数据库/表格名称产生的 XSS 注入 (CVE-2014-4349)（从 4.1.14.0 至 4.1.9.0）：

- 以下列出了大量非安全缺陷补丁：https://github.com/phpmyadmin/phpmyadmin/blob/MAINT_4_1_14/ChangeLog

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
83912	GLSA-201505-03 : phpMyAdmin：多个漏洞	Nessus	Gentoo Local Security Checks	2015/6/1	2021/1/11	medium
76915	phpMyAdmin 4.0.x < 4.0.10.1 / 4.1.x < 4.1.14.2 / 4.2.x < 4.2.6 多种漏洞 (PMASA-2014-4 - PMASA-2014-7)	Nessus	CGI abuses	2014/7/30	2022/4/11	medium
76600	FreeBSD：phpMyAdmin -- 多种 XSS 漏洞，缺少验证 (3f09ca29-0e48-11e4-b17a-6805ca0b3d42)	Nessus	FreeBSD Local Security Checks	2014/7/20	2021/1/6	medium
76924	Mandriva Linux 安全公告：phpmyadmin (MDVSA-2014:143)	Nessus	Mandriva Local Security Checks	2014/7/31	2021/1/6	medium
77432	openSUSE 安全更新：phpMyAdmin (openSUSE-SU-2014:1069-1)	Nessus	SuSE Local Security Checks	2014/8/29	2021/1/19	medium

检测

插件搜索

medium

medium

medium

medium

medium