Mandriva Linux 安全性公告：phpmyadmin (MDVSA-2014:143)

medium Nessus Plugin ID 76924

語系：

概要

遠端 Mandriva Linux 主機缺少安全性更新。

說明

在 phpmyadmin 中發現多個弱點並已更正：

在 phpMyAdmin 4.2.6 版之前的 4.2.x 版中，libraries/structure.lib.php 的 PMA_getHtmlForActionLinks 函式中存有一個跨網站指令碼 (XSS) 弱點，這會允許經驗證的遠端使用者透過建構資料庫結構頁面時無法正確處理的特製表格註解，插入任意 Web 指令碼或 HTML (CVE-2014-4954)。

在 phpMyAdmin 4.0.10.1 版之前的 4.0.x 版、4.1.14.2 版之前的 4.1.x 版和 4.2.6 版之前的 4.2.x 版中，libraries/rte/rte_list.lib.php 的 PMA_TRI_getRowForList 函式存有一個跨網站指令碼 (XSS) 弱點，這會允許經驗證的遠端使用者透過在資料庫觸發頁面上無法正確處理的特製觸發名稱，插入任意 Web 指令碼或 HTML (CVE-2014-4955)。

在 phpMyAdmin 4.0.10.1 版之前的 4.0.x 版、4.1.14.2 版之前的 4.1.x 版和 4.2.6 版之前的 4.2.x 版中，js/functions.js 存有多個跨網站指令碼 (XSS) 弱點，這會允許經驗證的遠端使用者透過建構 AJAX 確認訊息時無法正確處理的特製 (1) 表格名稱或 (2) 欄名稱，插入任意 Web 指令碼或 HTML (CVE-2014-4986)。

在 phpMyAdmin 4.1.14.2 之前的 4.1.x 版和 4.2.6 之前的 4.2.x 版中，server_user_groups.php 允許經驗證的遠端使用者透過 viewUsers 要求，繞過預定的存取限制並讀取 MySQL 使用者清單 (CVE-2014-4987)。

此升級提供最新版的 phpmyadmin (4.2.6)，可解決這些弱點。