CVE-2026-56705
KrytyczneCVSS 9.8Streszczenie
Adminer przed wersją 5.4.3 nie sanityzuje pola serwera przed skonstruowaniem ciągu DSN PDO, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie parametrów ODBC za pomocą średników. Atakujący może wstrzyknąć parametry TraceFile i TraceOn, aby zapisać kod PHP do katalogu głównego serwera WWW, osiągając zdalne wykonanie kodu.
Ocena ryzyka
Może to prowadzić do całkowitego przejęcia serwera WWW, ponieważ atakujący może wykonać dowolny kod PHP.
Rekomendacja
Zaktualizuj Adminer do wersji 5.4.3 lub nowszej. Upewnij się, że pole serwera jest odpowiednio sanityzowane.
Oryginalny opis (angielski, źródło NVD)
Adminer before 5.4.3 fails to sanitize the server field before constructing a PDO DSN string, allowing unauthenticated attackers to inject ODBC parameters via semicolons. Attackers can inject TraceFile and TraceOn parameters to write PHP code to the web root, achieving remote code execution when the trace file is accessed.