Several vulnerabilities have been discovered in phpMyAdmin, a tool to administer MySQL over the web. The Common Vulnerabilities and Exposures project identifies the following problems :

  - CVE-2011-4107     The XML import plugin allowed a remote attacker to read     arbitrary files via XML data containing external entity     references.

  - CVE-2011-1940, CVE-2011-3181     Cross site scripting was possible in the table tracking     feature, allowing a remote attacker to inject arbitrary     web script or HTML.

The oldstable distribution (lenny) is not affected by these problems.

The remote host contains a version of phpMyAdmin - 3.3.x less than 3.3.10.1 or 3.4.x less than 3.4.1 - that is affected by multiple vulnerabilities:

  - The scripts 'tbl_links.php' and 'tbl-tracking' fail to     filter input to the 'table' and 'db' parameters.  An     attacker may be able to exploit this issue to inject     arbitrary HTML and script code into a user's browser,     to be executed within the security context of the     affected application, resulting in the theft of session     cookies and a compromise of a user's account.
    (Issue #2011-03)

  - For versions 3.4.x < 3.4.1, the script 'url.php' fails     to validate input to the 'url' parameter before     redirecting to a specified location. (Issue #2011-04)

Web ベースの MySQL 管理ツールである phpMyAdmin に複数の脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2011-4107 XML インポートプラグインにより、リモートの攻撃者は、外部エンティティ参照を含む XML データを通じて任意のファイルを読み取る可能性があります。

- CVE-2011-1940、CVE-2011-3181 テーブルトラッキング機能においてクロスサイトスクリプティングが可能であり、リモートの攻撃者は任意の Web スクリプト、あるいは HTML を注入する可能性があります。

旧安定版（oldstable）ディストリビューション（lenny）は、これらの問題の影響を受けません。

リモートホストには、複数の脆弱性に影響を受ける 3.3.10.1 より前の 3.3.x または 3.4.1 より前の 3.4.x バージョンの phpMyAdmin が含まれています：

  - 「tbl_links.php」および「tbl-tracking」スクリプトは、「table」および「db」パラメーターへの入力をフィルターできません。攻撃者はこの問題を悪用して、影響を受けるアプリケーションのセキュリティコンテキスト内で実行されるように、ユーザーのブラウザに任意のHTMLやスクリプトコードを注入し、その結果、セッションcookieを窃取したり、ユーザーアカウントを危険に晒す可能性があります。
    （問題 #2011-03）

  - 3.4.x < 3.4.1 バージョンでは、スクリプト「url.php」は、指定されたロケーションへのリダイレクトする前に「url」パラメーターへの入力を検証できません。（問題 #2011-04）

在 phpMyAdmin (在網路上管理 MySQL 的工具) 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2011-4107 XML 匯入外掛程式允許遠端攻擊者透過包含外部實體參照的 XML 資料，讀取任意檔案。

- CVE-2011-1940、CVE-2011-3181 表格追蹤功能中可能會出現跨網站指令碼，進而允許遠端攻擊者插入任意 web 指令碼或 HTML。

舊的穩定發行版本 (lenny) 未受這些問題影響。

遠端主機包含的 phpMyAdmin 版本為 3.3.10.1 之前的 3.3.x 版或 3.4.1 之前的 3.4.x 版，其受到多個弱點影響：

- 指令碼 'tbl_links.php' 與 'tbl-tracking' 無法篩選對於 'table' 與 'db' 參數的輸入。攻擊者可惡意利用此問題，將任意 HTML 和指令碼插入使用者的瀏覽器，以便在受影響應用程式的安全性內容中執行，導致工作階段 cookie 遭竊並危害使用者的帳戶。
 (問題 #2011-03)

- 針對 3.4.x < 3.4.1 版，在重新導向至指定位置之前，指令碼 'url.php' 無法驗證對於 'url' 參數的輸入。(問題 #2011-04)

已在通过 Web 管理 MySQL 的工具 phpMyAdmin 中发现多个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2011-4107 XML 导入插件允许远程攻击者通过包含外部实体引用的 XML 数据读取任意文件。

- CVE-2011-1940、CVE-2011-3181 在表跟踪功能中可能存在跨站脚本，从而允许远程攻击者注入任意 Web 脚本或 HTML。

旧稳定发行版本 (lenny) 不受这些问题的影响。

远程主机包含低于 3.3.10.1 的 phpMyAdmin 3.3.x 版或低于 3.4.1 的 phpMyAdmin 3.4.x 版，其受到多种漏洞影响：

- 脚本“tbl_links.php”和“tbl-tracking”无法筛选针对“table”和“db”参数的输入。攻击者可利用此问题将任意 HTML 和脚本代码注入用户的浏览器，并在受影响应用程序的安全环境中执行，进而导致会话 Cookie 遭窃及用户的帐户受到损害。
 （问题 #2011-03）

- 针对低于 3.4.1 的 3.4.x 版，在重定向至指定位置之前，脚本“url.php”无法验证“url”参数的输入。（问题 #2011-04）

Versions of phpMyAdmin 3.3.x earlier than 3.3.10.1 and 3.4.x earlier than 3.4.1 are potentially affected by multiple vulnerabilities : 

  - It is possible to create a crafted table name that could lead to a cross-site scripting attack. (PMASA-2011-3)

  - It is possible to redirect to an arbitrary, untrusted site, leading to a possible phishing site. (PMASA-2011-4)

ID	Name	Product	Family	Published	Updated	Severity
57621	Debian DSA-2391-1 : phpmyadmin - several vulnerabilities	Nessus	Debian Local Security Checks	1/23/2012	1/11/2021	medium
55023	phpMyAdmin < 3.3.10.1 / 3.4.1 Multiple Vulnerabilities (PMASA-2011-03 - PMASA-2011-04	Nessus	CGI abuses	6/9/2011	4/11/2022	medium
57621	Debian DSA-2391-1 : phpmyadmin - 複数の脆弱性	Nessus	Debian Local Security Checks	1/23/2012	1/11/2021	medium
55023	phpMyAdmin < 3.3.10.1 / 3.4.1 複数の脆弱性（PMASA-2011-03 - PMASA-2011-04）	Nessus	CGI abuses	6/9/2011	4/11/2022	medium
57621	Debian DSA-2391-1 : phpmyadmin - 數個弱點	Nessus	Debian Local Security Checks	1/23/2012	1/11/2021	medium
55023	phpMyAdmin < 3.3.10.1 / 3.4.1 多個弱點 (PMASA-2011-03 - PMASA-2011-04	Nessus	CGI abuses	6/9/2011	4/11/2022	medium
57621	Debian DSA-2391-1：phpmyadmin - 多个漏洞	Nessus	Debian Local Security Checks	1/23/2012	1/11/2021	medium
55023	phpMyAdmin < 3.3.10.1 / 3.4.1 多种漏洞 (PMASA-2011-03 - PMASA-2011-04	Nessus	CGI abuses	6/9/2011	4/11/2022	medium
5930	phpMyAdmin 3.3.x < 3.3.10.1 / 3.4.x < 3.4.1 Multiple Vulnerabilities	Nessus Network Monitor	CGI	2/15/2011	3/6/2019	low

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

low