phpMyAdmin PMA_escapeJsString() Cross-Site Scripting

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
3.4$0-$5k0.00

phpMyAdmin ist eine freie PHP-Applikation zur Administration von MySQL-Datenbanken. Die Administration erfolgt über HTTP mit einem Browser. Daher können auch Datenbanken auf fremden Rechnern über eine Netzwerkverbindung oder über das Internet administriert werden. Für die Nutzung des Programms sind keine Kenntnisse in SQL notwendig, da die Applikation nach dem WYSIWYG-Verfahren arbeitet. Gemäss eines Advisories von Masako Oono existiert ein Fehler in der Library-Funktion PMA_escapeJsString(), die zur Bereinigung von Zeichenketten genutzt wird. Durch den Fehler wird es möglich, beliebigen Inhalt im Kontext der Zielapplikation zur Ausführung zu bringen. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (45334) und Tenable (35010) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter 3835.

Für den Vulnerability Scanner Nessus wurde am 03.12.2008 ein Plugin mit der ID 35010 (Debian DSA-1675-1 : phpmyadmin - insufficient input sanitising) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Debian Local Security Checks zugeordnet und im Kontext l ausgeführt.

Und noch eine Schwachstelle in phpMyAdmin: Auch hier gilt die Empfehlung der vorhergehenden Lücke: Alsbald möglich sollte ein Update auf die aktuellste Version angestrebt werden.

Produktinfo

Typ

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 3.7
VulDB Meta Temp Score: 3.4

VulDB Base Score: 3.7
VulDB Temp Score: 3.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-79 / CWE-74 / CWE-707
ATT&CK: T1059.007

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 35010
Nessus Name: Debian DSA-1675-1 : phpmyadmin - insufficient input sanitising
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Nessus Port: 🔍

OpenVAS ID: 61938
OpenVAS Name: Debian Security Advisory DSA 1675-1 (phpmyadmin)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Patch: phpmyadmin.net

Timelineinfo

23.09.2008 🔍
23.09.2008 +0 Tage 🔍
23.09.2008 +0 Tage 🔍
30.09.2008 +6 Tage 🔍
30.09.2008 +0 Tage 🔍
30.09.2008 +0 Tage 🔍
17.10.2008 +17 Tage 🔍
30.11.2008 +44 Tage 🔍
02.12.2008 +2 Tage 🔍
03.12.2008 +1 Tage 🔍
07.12.2008 +4 Tage 🔍
16.03.2021 +4482 Tage 🔍

Quelleninfo

Produkt: phpmyadmin.net

Advisory: phpmyadmin.net
Person: Masako Oono
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2008-4326 (🔍)
OVAL: 🔍

X-Force: 45334
Vulnerability Center: 20139 - phpMyAdmin < 2.11.9.2 with Internet Explorer Remote XSS Protection Bypass, Medium
SecurityFocus: 31327
Secunia: 32954 - Debian update for phpmyadmin, Less Critical
OSVDB: 48480 - phpMyAdmin libraries/js_escape.lib.php PMA_escapeJsString() Function MSIE Nul Byte XSS
Vupen: ADV-2008-2657

Siehe auch: 🔍

Eintraginfo

Erstellt: 17.10.2008 13:20
Aktualisierung: 16.03.2021 19:33
Anpassungen: 17.10.2008 13:20 (80), 03.07.2017 09:09 (9), 16.03.2021 19:27 (4), 16.03.2021 19:33 (1)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!