根據其自我報告的版本號碼，遠端 Web 伺服器上主控的 phpMyAdmin 安裝為 4.0.10.1 之前的 4.0.x 版、4.1.14.2 之前的 4.1.x 版或 4.2.6 之前的 4.2.x 版。因此受到以下弱點影響：

- 'TABLE_COMMENT' 參數輸入未使用指令碼 'libraries/structure.lib.php' 驗證，因此可允許跨網站指令碼攻擊。請注意，此問題會影響 4.2.x 分支。(CVE-2014-4954)

- 'trigger' 參數輸入未使用指令碼 'libraries/rte/rte_list.lib.php' 驗證，因此可允許跨網站指令碼攻擊。(CVE-2014-4955)

- 'table' 和 'curr_column_name' 參數輸入未分別使用指令碼 'js/functions.js' 和 'js/tbl_structure.js' 驗證，因此可允許跨網站指令碼攻擊。(CVE-2014-4986)

- 指令碼 'server_user_groups.php' 中含有一個可允許遠端攻擊者取得 MySQL 使用者清單，並可能對應用程式顯示進行變更的錯誤。請注意，此問題只會影響 4.1.x 和 4.2.x 分支。(CVE-2014-4987)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-201505-03 中所述的弱點影響 (phpMyAdmin：多個弱點)

    在 phpMyAdmin 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    經過驗證的遠端攻擊者可惡意利用這些弱點，透過特製的參數，從而納入並執行任意本機檔案、插入 SQL 程式碼，或是執行跨網站指令碼攻擊。
  因應措施：

    目前尚無已知的因應措施。

在 phpmyadmin 中發現多個弱點並已更正：

在 phpMyAdmin 4.2.6 版之前的 4.2.x 版中，libraries/structure.lib.php 的 PMA_getHtmlForActionLinks 函式中存有一個跨網站指令碼 (XSS) 弱點，這會允許經驗證的遠端使用者透過建構資料庫結構頁面時無法正確處理的特製表格註解，插入任意 Web 指令碼或 HTML (CVE-2014-4954)。

在 phpMyAdmin 4.0.10.1 版之前的 4.0.x 版、4.1.14.2 版之前的 4.1.x 版和 4.2.6 版之前的 4.2.x 版中，libraries/rte/rte_list.lib.php 的 PMA_TRI_getRowForList 函式存有一個跨網站指令碼 (XSS) 弱點，這會允許經驗證的遠端使用者透過在資料庫觸發頁面上無法正確處理的特製觸發名稱，插入任意 Web 指令碼或 HTML (CVE-2014-4955)。

在 phpMyAdmin 4.0.10.1 版之前的 4.0.x 版、4.1.14.2 版之前的 4.1.x 版和 4.2.6 版之前的 4.2.x 版中，js/functions.js 存有多個跨網站指令碼 (XSS) 弱點，這會允許經驗證的遠端使用者透過建構 AJAX 確認訊息時無法正確處理的特製 (1) 表格名稱或 (2) 欄名稱，插入任意 Web 指令碼或 HTML (CVE-2014-4986)。

在 phpMyAdmin 4.1.14.2 之前的 4.1.x 版和 4.2.6 之前的 4.2.x 版中，server_user_groups.php 允許經驗證的遠端使用者透過 viewUsers 要求，繞過預定的存取限制並讀取 MySQL 使用者清單 (CVE-2014-4987)。

此升級提供最新版的 phpmyadmin (4.2.6)，可解決這些弱點。

此 phpMyAdmin 更新可解決數個安全性和非安全性問題：

- 這是 phpMyAdmin 版本升級 (bnc#892401)：(From 4.1.14.3)：

- sf#4501 [安全性] 表格瀏覽頁面中的 XSS (CVE-2014-5273)

- sf#4502 [安全性] 列舉值編輯器中的 Self-XSS (CVE-2014-5273)

- sf#4503 [安全性] 監視器中的 Self-XSS (CVE-2014-5273)

- sf#4505 [安全性] 檢視操作頁面中的 XSS (CVE-2014-5274)

- sf#4504 [安全性] 查詢圖表中的 Self-XSS&#9;(CVE-2014-5273)

- sf#4517 [安全性] 關係檢視中的 XSS (CVE-2014-5273) (從 4.1.14.2)：

- sf#4488 [安全性] 因未逸出表格名稱而發生 XSS 插入 (觸發器) (CVE-2014-4955)

- sf#4492 [安全性] AJAX 確認訊息中的 XSS (CVE-2014-4986)

- sf#4491 [安全性] 缺少存取使用者群組功能的驗證 (CVE-2014-4987) (從 4.1.14.1)：

- sf#4464 [安全性] 因在導覽隱藏中的未逸出資料庫/表格名稱而導致 XSS 插入 (CVE-2014-4349) (從 4.1.14.0 到 4.1.9.0)：

- 數個非安全性錯誤修正列於 https://github.com/phpmyadmin/phpmyadmin/blob/MAINT_4_1_14/ChangeLog

phpMyAdmin 開發團隊報告：

資料庫結構頁面中未逸出 HTML 輸出所導致的 Self-XSS。

透過特製的表格註解，可以在資料庫結構頁面中觸發 XSS。

資料庫觸發程序頁面中未逸出的 HTML 輸出所導致的 Self-XSS。

導覽至資料庫觸發程序頁面時，可以透過特製的觸發程序名稱觸發 XSS。

AJAX 確認訊息中的多個 XSS

透過特製的欄名稱，可以在將欄放入表格結構頁面時觸發 XSS。透過特製的表格名稱，可以在表格作業頁面中放置或截斷表格時觸發 XSS。

無權限的使用者對 MySQL 使用者清單的存取。

無權限的使用者可以檢視 MySQL 使用者清單，並操控 phpMyAdmin 中為其顯示的索引標籤。

ID	名稱	產品	系列	已發布	已更新	嚴重性
76915	phpMyAdmin 4.0.x < 4.0.10.1 / 4.1.x < 4.1.14.2 / 4.2.x < 4.2.6 多個弱點 (PMASA-2014-4 - PMASA-2014-7)	Nessus	CGI abuses	2014/7/30	2022/4/11	medium
83912	GLSA-201505-03：phpMyAdmin：多個弱點	Nessus	Gentoo Local Security Checks	2015/6/1	2021/1/11	medium
76924	Mandriva Linux 安全性公告：phpmyadmin (MDVSA-2014:143)	Nessus	Mandriva Local Security Checks	2014/7/31	2021/1/6	medium
77432	openSUSE 安全性更新：phpMyAdmin (openSUSE-SU-2014:1069-1)	Nessus	SuSE Local Security Checks	2014/8/29	2021/1/19	medium
76600	FreeBSD：phpMyAdmin -- 多個 XSS 弱點，遺漏驗證 (3f09ca29-0e48-11e4-b17a-6805ca0b3d42)	Nessus	FreeBSD Local Security Checks	2014/7/20	2021/1/6	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium