phpMyAdmin तक 4.0.10.5/4.1.14.6/4.2.11 क्रॉस साइट स्क्रिप्टिंग

CVSS मेटा अस्थायी स्कोरवर्तमान एक्सप्लॉइट मूल्य (≈)CTI रुचि स्कोर
3.4$0-$5k0.00

सारांशजानकारी

एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, phpMyAdmin तक 4.0.10.5/4.1.14.6/4.2.11 में पाई गई है। प्रभावित है एक अज्ञात फ़ंक्शन। इसमें शामिल है, जिससे क्रॉस साइट स्क्रिप्टिंग उत्पन्न होती है। यह सुरक्षा कमजोरी CVE-2014-8958 के रूप में संदर्भित है। यह हमला दूर से किया जा सकता है। साथ ही, एक शोषण मौजूद है. यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

विवरणजानकारी

एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, phpMyAdmin तक 4.0.10.5/4.1.14.6/4.2.11 में पाई गई है। प्रभावित है एक अज्ञात फ़ंक्शन। इसमें शामिल है, जिससे क्रॉस साइट स्क्रिप्टिंग उत्पन्न होती है। CWE का उपयोग करके समस्या को घोषित करने से CWE-79 प्राप्त होता है। कमजोरी प्रकाशित की गई थी 20/11/2014 द्वारा Johannes Dahse के साथ phpMyAdmin के रूप में PMASA-2014-13 के रूप में सलाह (वेबसाइट). एडवाइजरी को phpmyadmin.net पर डाउनलोड के लिए उपलब्ध कराया गया है।

यह सुरक्षा कमजोरी CVE-2014-8958 के रूप में संदर्भित है। CVE आवंटन 18/11/2014 को हुआ था. यह हमला दूर से किया जा सकता है। कोई तकनीकी जानकारी उपलब्ध नहीं है. यह भेद्यता सामान्य से कम लोकप्रिय है। साथ ही, एक शोषण मौजूद है. इस समय एक्सप्लॉइट का मौजूदा मूल्य करीब USD $0-$5k माना जा रहा है। MITRE ATT&CK परियोजना के अनुसार हमले की तकनीक T1059.007 है. एडवाइजरी इंगित करती है:

With a crafted database, table or column name it is possible to trigger an XSS attack in the table browse page. With a crafted ENUM value it is possible to trigger XSS attacks in the table print view and zoom search pages. With a crafted value for font size it is possible to trigger an XSS attack in the home page.

इसे उच्च कार्यात्मक के रूप में घोषित किया गया है। 0-day के रूप में अनुमानित भूमिगत कीमत लगभग $0-$5k थी। वल्नरेबिलिटी स्कैनर Nessus ID 79777 वाला एक प्लगइन प्रदान करता है (Fedora 21 : phpMyAdmin-4.2.12-1.fc21 (2014-15588)), जो लक्ष्य वातावरण में खामी की उपस्थिति का पता लगाने में मदद करता है। इसे Fedora Local Security Checks परिवार में असाइन किया गया है। यह 0 पोर्ट पर आधारित है. वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 175537 प्लगइन से कर सकता है (Debian Security Update for phpmyadmin (DSA 3382-1)).

4.0.10.6, 4.1.14.7 , 4.2.12 संस्करण में अपग्रेड करने से इस समस्या का समाधान हो सकता है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए। एडवाइजरी में निम्नलिखित टिप्पणी है:

These vulnerabilities can be triggered only by someone who is logged in to phpMyAdmin, as the usual token protection prevents non-logged-in users from accessing the required pages. Moreover, exploitation of the XSS vulnerability related to the font size requires forgery of the pma_fontsize cookie.

कमजोरी अन्य कमजोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 71243), X-Force (98888), Vulnerability Center (SBV-47443) , Tenable (79777).

उत्पादजानकारी

प्रकार

नाम

संस्करण

लाइसेंस

वेबसाइट

CPE 2.3जानकारी

CPE 2.2जानकारी

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 3.5
VulDB मेटा अस्थायी स्कोर: 3.4

VulDB मूल स्कोर: 3.5
VulDB अस्थायी स्कोर: 3.4
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv2जानकारी

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
सदिशजटिलताप्रमाणीकरणगोपनीयताअखंडताउपलब्धता
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: क्रॉस साइट स्क्रिप्टिंग
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
स्थिति: उच्च कार्यात्मक

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Dayअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
आजअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

Nessus ID: 79777
Nessus नाम: Fedora 21 : phpMyAdmin-4.2.12-1.fc21 (2014-15588)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Port: 🔍

OpenVAS ID: 703382
OpenVAS नाम: Debian Security Advisory DSA 3382-1 (phpmyadmin - security update)
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍

Qualys ID: 🔍
Qualys नाम: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍

अपग्रेड: phpMyAdmin 4.0.10.6/4.1.14.7/4.2.12
पैच: github.com

समयरेखाजानकारी

18/11/2014 🔍
20/11/2014 +2 दिन 🔍
20/11/2014 +0 दिन 🔍
20/11/2014 +0 दिन 🔍
20/11/2014 +0 दिन 🔍
24/11/2014 +4 दिन 🔍
30/11/2014 +6 दिन 🔍
07/12/2014 +7 दिन 🔍
08/12/2014 +1 दिन 🔍
27/02/2022 +2638 दिन 🔍

स्रोतजानकारी

उत्पाद: phpmyadmin.net

सलाह: PMASA-2014-13
शोधकर्ता: Johannes Dahse
संगठन: phpMyAdmin
स्थिति: पुष्टि की गई
पुष्टि: 🔍

CVE: CVE-2014-8958 (🔍)
GCVE (CVE): GCVE-0-2014-8958
GCVE (VulDB): GCVE-100-68271

OVAL: 🔍

X-Force: 98888 - phpMyAdmin multiple cross-site scripting, Low Risk
SecurityFocus: 71243 - phpMyAdmin CVE-2014-8958 Multiple Cross Site Scripting Vulnerabilities
Vulnerability Center: 47443 - phpMyAdmin 4.0.x before 4.0.10.6, 4.1.x before 4.1.14.7, and 4.2.x before 4.2.12 XSS Vulnerabilities, Low

scip Labs: https://www.scip.ch/en/?labs.20161013
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 24/11/2014 10:45 AM
अद्यतनित: 27/02/2022 08:48 AM
परिवर्तन: 24/11/2014 10:45 AM (77), 13/06/2017 09:16 AM (6), 27/02/2022 08:46 AM (4), 27/02/2022 08:48 AM (1)
पूर्ण: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछलासिंहावलोकनअगला ▸

Interested in the pricing of exploits?

See the underground prices here!