Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut employer plusieurs fonctionnalités pour
provoquer plusieurs Cross Site Scripting dans phpMyAdmin.

– Gravité : 2/4
– Date création : 23/08/2010

DESCRIPTION DE LA VULNÉRABILITÉ

Le serveur phpMyAdmin permet d’administrer une base de données
MySQL via un navigateur web.

Plusieurs pages vérifient incorrectement les données passées par
URL :
– paramètre "field_str" de db_search.php
– paramètre "delimiter" de db_sql.php
– paramètre "sort" de db_structure.php
– paramètre "db" de js/messages.php
– paramètre "sort_by" de server_databases.php
– paramètres "checkprivs", "dbname", "pred_tablename",
"selected_usr[]", "tablename", et "username" de
server_privileges.php
– paramètre "DefaultLang" de setup/config.php
– paramètres "cpurge", "goto", "purge", "purgekey", "table", et
"zero_rows" parameters to sql.php
– paramètre "fields[multi_edit][]" de tbl_replace.php

Un attaquant peut donc employer plusieurs fonctionnalités pour
provoquer plusieurs Cross Site Scripting dans phpMyAdmin.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/phpMyAdmin-multiples-Cross-Site-Scripting-9870