FreeBSD：phpMyAdmin -- Table オペレーション、Database 構造、Trigger および Visualize GIS データページの複数の XSS（db1d3340-e83b-11e1-999b-e0cb4e266481）

low Nessus プラグイン ID 61566

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

phpMyAdmin 開発チームによる報告：

細工されたテーブル名を使用することで、XSS を発生させることが可能でした：1) Database Structure ページで、細工された名前の新しいテーブルを作成 2) Database Structure ページで、細工されたテーブル名の Empty および Drop リンクを使用 3) 細工されたテーブルの Table Operations ページで、「Empty the table (TRUNCATE)」および「Delete the table (DROP)」リンクを使用 4) 細工された名前のテーブルを含むデータベースの Triggers ページで、「Add Trigger」ポップアップを開いたとき 5) 無効な定義で、細工された名前のテーブルに対するトリガーを作成するとき。細工されたデータをデータベーステーブルに入れることで、XSS を発生させることが可能でした：6) 細工されたラベル名を持つ GIS データを視覚化するとき。