phpMyAdmin 4.x < 4.8.5 任意檔案讀取
medium Web App Scanning Plugin ID 113294
語系：
概要
phpMyAdmin說明
遠端主機上安裝的 phpMyAdmin 版本未正確封鎖對 LOAD DATA INFILE 函式的存取，導致攻擊者能夠讀取可使用 Web 伺服器權限存取的檔案系統上的任何檔案。Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.解決方案
升級至 phpMyAdmin 4.8.5 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 113294
類型: remote
已發布: 2022/7/11
已更新: 2023/3/14
掃描範本: api, basic, full, pci, scan
風險資訊
VPR
風險因素: Low
分數: 3.6
CVSS v2
風險因素: Medium
基本分數: 4.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2019-6799
CVSS v3
風險因素: Medium
基本分數: 5.9
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS 評分資料來源: CVE-2019-6799
弱點資訊
CPE: cpe:2.3:a:phpmyadmin:phpmyadmin:*:*:*:*:*:*:*:*
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2019/1/21
弱點發布日期: 2019/1/21
參考資訊
CVE: CVE-2019-6799
BID: 106736
CWE: 200
OWASP: 2010-A6, 2013-A5, 2013-A9, 2017-A6, 2017-A9, 2021-A1, 2021-A6
WASC: Information Leakage
CAPEC: 116, 13, 169, 22, 224, 285, 287, 290, 291, 292, 293, 294, 295, 296, 297, 298, 299, 300, 301, 302, 303, 304, 305, 306, 307, 308, 309, 310, 312, 313, 317, 318, 319, 320, 321, 322, 323, 324, 325, 326, 327, 328, 329, 330, 472, 497, 508, 573, 574, 575, 576, 577, 59, 60, 616, 643, 646, 651, 79
DISA STIG: APSC-DV-000460, APSC-DV-002630
HIPAA: 164.306(a)(1), 164.306(a)(2)
ISO: 27001-A.14.2.5
NIST: sp800_53-CM-6b, sp800_53-SI-15
OWASP API: 2019-API7, 2023-API8
OWASP ASVS: 4.0.2-14.2.1, 4.0.2-8.3.4