CVE-2026-56702

Adminer przed wersją 5.4.3 nie sanityzuje pola serwera przed skonstruowaniem ciągu DSN PDO, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie parametrów ODBC za pomocą średników. Atakujący może wstrzyknąć parametry TraceFile i TraceOn, aby zapisać kod PHP do katalogu głównego serwera WWW, osiągając zdalne wykonanie kodu.

Adminer przed wersją 5.4.3 używa schematu tokenów CSRF, który przesyła zarówno maskę XOR, jak i zamaskowaną wartość w każdym tokenie (format (rand XOR secret):rand), co pozwala każdemu, kto zaobserwuje pojedynczy token CSRF (np. przez podsłuch sieciowy, pliki dziennika, nagłówek Referer lub XSS), na odzyskanie sekretu sesji za pomocą pojedynczej operacji XOR i sfałszowanie nieograniczonej liczby ważnych tokenów. Implementacja jest dodatkowo osłabiona przez niskoentropijny token sesji (rand(1,1e6), ~20 bitów), który umożliwia ślepe brute-force, oraz przez użycie luźnego porównania (==) w weryfikacji tokena, co umożliwia manipulację typem w PHP. Eksploatacja umożliwia ataki CSRF na uwierzytelnione sesje, w tym wykonanie dowolnych zapytań SQL.

Adminer przed wersją 5.4.3 wstawia nieoczyszczone ciągi wersji serwera bazy danych do tagów skryptów z ważnymi nonce CSP bez odpowiedniej walidacji. Atakujący kontrolujący złośliwy serwer MySQL mogą zwrócić spreparowane ciągi wersji, które wychodzą z kontekstu JavaScript i wykonują dowolny kod, omijając zabezpieczenia Content Security Policy.

Adminer przed wersją 5.4.3 zawiera podatność na zdalne wykonanie kodu w obsłudze zapytań SQLite, gdzie polecenie VACUUM INTO nie jest blokowane mimo ograniczeń ATTACH. Uwierzytelnieni atakujący mogą wykonać VACUUM INTO, aby zapisać kod PHP do dowolnych ścieżek plików i wykonać polecenia na serwerze.

Adminer przed wersją 5.4.3 zawiera podatność na dowolne usuwanie plików w trybie SQLite, gdzie akcja usuwania listy baz danych nie sprawdza poprawnie rozszerzeń plików przed usunięciem. Uwierzytelniony atakujący może przesłać dowolne względne ścieżki plików w parametrze db[], aby usunąć dowolne pliki zapisywalne przez proces PHP.

Adminer w wersjach od 5.3.0 do 5.4.2 z włączoną wtyczką sql-log zawiera podatność na dowolny zapis plików w parametrze ns w plugins/sql-log.php. Uwierzytelniony użytkownik może podać sekwencje przechodzenia poza katalog w parametrze ns, aby zapisać dowolne pliki .sql z treścią kontrolowaną przez atakującego w dowolnym katalogu z prawem zapisu na hoście.

Adminer przed wersją 5.5.0 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w walidatorze pola serwera w formularzu logowania, który sprawdza tylko początkowe liczby całkowite dla uprzywilejowanych portów i nie odrzuca nie numerycznych wartości portów. Atakujący mogą wstrzyknąć klucze DSN PDO, takie jak host= i port=, do parametru serwera, aby ominąć ograniczenie uprzywilejowanych portów i nawiązać połączenia TCP z dowolnymi wewnętrznymi hostami i portami przed uwierzytelnieniem.

Adminer w wersjach od 4.6.0 do przed 5.5.0 dodaje nagłówek X-Forwarded-Prefix dostarczony przez klienta do $_SERVER["REQUEST_URI"] bez sprawdzania zaufanego proxy i bez walidacji wartości prefiksu. Atakujący może podać absolutny URL (np. X-Forwarded-Prefix: https://evil.example), który trafia do nagłówków przekierowań Location, atrybutu ścieżki Set-Cookie i samoodnośnych linków. Umożliwia to uwierzytelnione otwarte przekierowanie po zmianach stanu POST, nieuwierzytelnioną kontrolę atrybutu ścieżki ciasteczka sesji i zatruwanie samoodnośnych linków; CR/LF nie mogą być wstrzyknięte, więc podział nagłówków/XSS nie jest możliwy.

Adminer w wersjach 4.6.0-5.5.0 (poprawione w 5.5.1) ma niekompletną poprawkę podatności X-Forwarded-Prefix. Walidacja odrzuca tylko prefiksy zaczynające się od '/', ale pozwala na wartości takie jak '/\evil.com', które po normalizacji przeglądarki stają się sieciowym odwołaniem ścieżki, wpływając na atrybut Path w ciasteczkach.

Podatność w Adminer w metodzie multi_query wynika z nieprawidłowego sprawdzenia wartości zwracanej przez funkcję. Zdalny atakujący z uwierzytelnieniem może wykorzystać ten błąd do wykonania dowolnego kodu w kontekście serwera WWW.