CVE-2026-15686

Adminer przed wersją 5.4.3 nie sanityzuje pola serwera przed skonstruowaniem ciągu DSN PDO, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie parametrów ODBC za pomocą średników. Atakujący może wstrzyknąć parametry TraceFile i TraceOn, aby zapisać kod PHP do katalogu głównego serwera WWW, osiągając zdalne wykonanie kodu.

Adminer przed wersją 5.4.3 używa schematu tokenów CSRF, który przesyła zarówno maskę XOR, jak i zamaskowaną wartość w każdym tokenie (format (rand XOR secret):rand), co pozwala każdemu, kto zaobserwuje pojedynczy token CSRF (np. przez podsłuch sieciowy, pliki dziennika, nagłówek Referer lub XSS), na odzyskanie sekretu sesji za pomocą pojedynczej operacji XOR i sfałszowanie nieograniczonej liczby ważnych tokenów. Implementacja jest dodatkowo osłabiona przez niskoentropijny token sesji (rand(1,1e6), ~20 bitów), który umożliwia ślepe brute-force, oraz przez użycie luźnego porównania (==) w weryfikacji tokena, co umożliwia manipulację typem w PHP. Eksploatacja umożliwia ataki CSRF na uwierzytelnione sesje, w tym wykonanie dowolnych zapytań SQL.

Adminer przed wersją 5.4.3 wstawia nieoczyszczone ciągi wersji serwera bazy danych do tagów skryptów z ważnymi nonce CSP bez odpowiedniej walidacji. Atakujący kontrolujący złośliwy serwer MySQL mogą zwrócić spreparowane ciągi wersji, które wychodzą z kontekstu JavaScript i wykonują dowolny kod, omijając zabezpieczenia Content Security Policy.

Adminer przed wersją 5.4.3 zawiera podatność na zdalne wykonanie kodu w obsłudze zapytań SQLite, gdzie polecenie VACUUM INTO nie jest blokowane mimo ograniczeń ATTACH. Uwierzytelnieni atakujący mogą wykonać VACUUM INTO, aby zapisać kod PHP do dowolnych ścieżek plików i wykonać polecenia na serwerze.

Adminer przed wersją 5.4.3 zawiera podatność na nieograniczone przesyłanie plików we wtyczce AdminerFileUpload, która pozwala uwierzytelnionym użytkownikom przesyłać pliki PHP poprzez wykorzystanie domyślnej, zbyt liberalnej listy dozwolonych rozszerzeń. Atakujący mogą przesłać webshell PHP do kolumn kończących się na _path i wykonać dowolny kod jako użytkownik serwera WWW, gdy uploadPath jest serwowany przez WWW.

Adminer przed wersją 5.4.3 zawiera podatność na dowolne usuwanie plików w trybie SQLite, gdzie akcja usuwania listy baz danych nie sprawdza poprawnie rozszerzeń plików przed usunięciem. Uwierzytelniony atakujący może przesłać dowolne względne ścieżki plików w parametrze db[], aby usunąć dowolne pliki zapisywalne przez proces PHP.

Adminer w wersjach od 5.3.0 do 5.4.2 z włączoną wtyczką sql-log zawiera podatność na dowolny zapis plików w parametrze ns w plugins/sql-log.php. Uwierzytelniony użytkownik może podać sekwencje przechodzenia poza katalog w parametrze ns, aby zapisać dowolne pliki .sql z treścią kontrolowaną przez atakującego w dowolnym katalogu z prawem zapisu na hoście.

Adminer przed wersją 5.5.0 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w walidatorze pola serwera w formularzu logowania, który sprawdza tylko początkowe liczby całkowite dla uprzywilejowanych portów i nie odrzuca nie numerycznych wartości portów. Atakujący mogą wstrzyknąć klucze DSN PDO, takie jak host= i port=, do parametru serwera, aby ominąć ograniczenie uprzywilejowanych portów i nawiązać połączenia TCP z dowolnymi wewnętrznymi hostami i portami przed uwierzytelnieniem.

Adminer w wersjach od 4.6.0 do przed 5.5.0 dodaje nagłówek X-Forwarded-Prefix dostarczony przez klienta do $_SERVER["REQUEST_URI"] bez sprawdzania zaufanego proxy i bez walidacji wartości prefiksu. Atakujący może podać absolutny URL (np. X-Forwarded-Prefix: https://evil.example), który trafia do nagłówków przekierowań Location, atrybutu ścieżki Set-Cookie i samoodnośnych linków. Umożliwia to uwierzytelnione otwarte przekierowanie po zmianach stanu POST, nieuwierzytelnioną kontrolę atrybutu ścieżki ciasteczka sesji i zatruwanie samoodnośnych linków; CR/LF nie mogą być wstrzyknięte, więc podział nagłówków/XSS nie jest możliwy.

Adminer w wersjach 4.6.0-5.5.0 (poprawione w 5.5.1) ma niekompletną poprawkę podatności X-Forwarded-Prefix. Walidacja odrzuca tylko prefiksy zaczynające się od '/', ale pozwala na wartości takie jak '/\evil.com', które po normalizacji przeglądarki stają się sieciowym odwołaniem ścieżki, wpływając na atrybut Path w ciasteczkach.