根據其自我報告的版本號碼，遠端網頁伺服器上主控的 phpMyAdmin 應用程式是比 4.0.10.16 舊的 4.0.x 版。因此，會受到以下弱點影響：- setup/frames/index.inc.php 指令碼中存在一個缺陷，其可讓未經驗證的遠端攻擊者得以存取非 HTTPS 連線上的程式，進而對 HTTP 工作階段插入任意 BBCode。(CVE-2016-5701) - 在載入特製 JavaScript 檔案過程中處理「scripts」參數中的大型陣列時，js/get_scripts.js.php 指令碼中存在一個缺陷。未經驗證的遠端攻擊者可加以惡意利用，進而引發拒絕服務情形。(CVE-2016-5706) - Example OpenID Authentication 和 Setup 指令碼中存在一個資訊洩漏弱點，其可讓遠端攻擊者透過多種向量在錯誤訊息中洩漏應用程式的安裝路徑。(CVE-2016-5730) - 在處理 OpenID 錯誤訊息時，examples/openid.php 指令碼中存在一個反映式跨網站指令碼 (XSS) 弱點，這是因為未能正確驗證輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。(CVE-2016-5731) - 存在多個跨網站指令碼 (XSS) 弱點，這是因為未能正確驗證使用者提供的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼或 HTML。(CVE-2016-5733) - 表格搜尋及取代功能中存在一個缺陷，這是因為未正確清理參數，便將其傳送給 preg_replace() 函式所致。未經驗證的遠端攻擊者可加以惡意利用，透過特製的字串，執行任意 PHP 程式碼。(CVE-2016-5734) - 在處理轉換時，libraries/Header.class.php 指令碼中存在一個資訊洩漏弱點，這是因為無法使用「no-referer」內容安全性原則 (CSP) 保護機制所致。未經驗證的遠端攻擊者可加以惡意利用，透過特製的轉換，洩漏敏感的驗證 token 資訊，然後可能用來發動跨網站要求偽造 (XSRF) 攻擊。(CVE-2016-5739) 請注意，Nessus 並未嘗試惡意利用這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

phpMyAdmin 4.0.x < 4.0.10.16 多個弱點 (PMASA-2016-17、PMASA-2016-22 - PMASA-2016-24、PMASA-2016-26 - PMASA-2016-28)

critical Nessus Plugin ID 99661

版本 1.7