CVE-2026-56706
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Adminer przed wersją 5.4.3 używa schematu tokenów CSRF, który przesyła zarówno maskę XOR, jak i zamaskowaną wartość w każdym tokenie (format (rand XOR secret):rand), co pozwala każdemu, kto zaobserwuje pojedynczy token CSRF (np. przez podsłuch sieciowy, pliki dziennika, nagłówek Referer lub XSS), na odzyskanie sekretu sesji za pomocą pojedynczej operacji XOR i sfałszowanie nieograniczonej liczby ważnych tokenów. Implementacja jest dodatkowo osłabiona przez niskoentropijny token sesji (rand(1,1e6), ~20 bitów), który umożliwia ślepe brute-force, oraz przez użycie luźnego porównania (==) w weryfikacji tokena, co umożliwia manipulację typem w PHP. Eksploatacja umożliwia ataki CSRF na uwierzytelnione sesje, w tym wykonanie dowolnych zapytań SQL.
Ocena ryzyka
Umożliwia atakującemu wykonanie nieautoryzowanych działań w sesji administratora, w tym wykonanie dowolnych zapytań SQL, co może prowadzić do pełnego przejęcia bazy danych.
Rekomendacja
Zaktualizuj Adminer do wersji 5.4.3 lub nowszej, która zawiera poprawkę schematu tokenów CSRF i weryfikacji.
Inne podatności w Adminer
Zobacz wszystkie- CVE-2026-56705Krytyczne
Adminer przed wersją 5.4.3 nie sanityzuje pola serwera przed skonstruowaniem ciągu DSN PDO, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie parametrów ODBC za pomocą średników. Atakujący może wstrzyknąć parametry TraceFile i TraceOn, aby zapisać kod PHP do katalogu głównego serwera WWW, osiągając zdalne wykonanie kodu.
- CVE-2026-56704Średnie
Adminer przed wersją 5.4.3 wstawia nieoczyszczone ciągi wersji serwera bazy danych do tagów skryptów z ważnymi nonce CSP bez odpowiedniej walidacji. Atakujący kontrolujący złośliwy serwer MySQL mogą zwrócić spreparowane ciągi wersji, które wychodzą z kontekstu JavaScript i wykonują dowolny kod, omijając zabezpieczenia Content Security Policy.
- CVE-2026-56703Wysokie
Adminer przed wersją 5.4.3 zawiera podatność na zdalne wykonanie kodu w obsłudze zapytań SQLite, gdzie polecenie VACUUM INTO nie jest blokowane mimo ograniczeń ATTACH. Uwierzytelnieni atakujący mogą wykonać VACUUM INTO, aby zapisać kod PHP do dowolnych ścieżek plików i wykonać polecenia na serwerze.
- CVE-2026-56702Wysokie
Adminer przed wersją 5.4.3 zawiera podatność na nieograniczone przesyłanie plików we wtyczce AdminerFileUpload, która pozwala uwierzytelnionym użytkownikom przesyłać pliki PHP poprzez wykorzystanie domyślnej, zbyt liberalnej listy dozwolonych rozszerzeń. Atakujący mogą przesłać webshell PHP do kolumn kończących się na _path i wykonać dowolny kod jako użytkownik serwera WWW, gdy uploadPath jest serwowany przez WWW.
- CVE-2026-34968Wysokie
Adminer przed wersją 5.4.3 zawiera podatność na dowolne usuwanie plików w trybie SQLite, gdzie akcja usuwania listy baz danych nie sprawdza poprawnie rozszerzeń plików przed usunięciem. Uwierzytelniony atakujący może przesłać dowolne względne ścieżki plików w parametrze db[], aby usunąć dowolne pliki zapisywalne przez proces PHP.
- CVE-2026-34967Średnie
Adminer w wersjach od 5.3.0 do 5.4.2 z włączoną wtyczką sql-log zawiera podatność na dowolny zapis plików w parametrze ns w plugins/sql-log.php. Uwierzytelniony użytkownik może podać sekwencje przechodzenia poza katalog w parametrze ns, aby zapisać dowolne pliki .sql z treścią kontrolowaną przez atakującego w dowolnym katalogu z prawem zapisu na hoście.
- CVE-2026-34964Średnie
Adminer przed wersją 5.5.0 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w walidatorze pola serwera w formularzu logowania, który sprawdza tylko początkowe liczby całkowite dla uprzywilejowanych portów i nie odrzuca nie numerycznych wartości portów. Atakujący mogą wstrzyknąć klucze DSN PDO, takie jak host= i port=, do parametru serwera, aby ominąć ograniczenie uprzywilejowanych portów i nawiązać połączenia TCP z dowolnymi wewnętrznymi hostami i portami przed uwierzytelnieniem.
- CVE-2026-34959Średnie
Adminer w wersjach od 4.6.0 do przed 5.5.0 dodaje nagłówek X-Forwarded-Prefix dostarczony przez klienta do $_SERVER["REQUEST_URI"] bez sprawdzania zaufanego proxy i bez walidacji wartości prefiksu. Atakujący może podać absolutny URL (np. X-Forwarded-Prefix: https://evil.example), który trafia do nagłówków przekierowań Location, atrybutu ścieżki Set-Cookie i samoodnośnych linków. Umożliwia to uwierzytelnione otwarte przekierowanie po zmianach stanu POST, nieuwierzytelnioną kontrolę atrybutu ścieżki ciasteczka sesji i zatruwanie samoodnośnych linków; CR/LF nie mogą być wstrzyknięte, więc podział nagłówków/XSS nie jest możliwy.
- CVE-2026-16434Niskie
Adminer w wersjach 4.6.0-5.5.0 (poprawione w 5.5.1) ma niekompletną poprawkę podatności X-Forwarded-Prefix. Walidacja odrzuca tylko prefiksy zaczynające się od '/', ale pozwala na wartości takie jak '/\evil.com', które po normalizacji przeglądarki stają się sieciowym odwołaniem ścieżki, wpływając na atrybut Path w ciasteczkach.
- CVE-2026-15686Wysokie
Podatność w Adminer w metodzie multi_query wynika z nieprawidłowego sprawdzenia wartości zwracanej przez funkcję. Zdalny atakujący z uwierzytelnieniem może wykorzystać ten błąd do wykonania dowolnego kodu w kontekście serwera WWW.
Oryginalny opis (angielski, źródło NVD)
Adminer before 5.4.3 uses a CSRF token scheme that transmits both the XOR mask and the masked value in every token (format (rand XOR secret):rand), allowing anyone who observes a single CSRF token (e.g., via network sniffing, log files, Referrer header, or XSS) to recover the session secret with a single XOR operation and forge unlimited valid tokens. The implementation is further weakened by a low-entropy session token (rand(1,1e6), ~20 bits) that permits blind brute-force, and by use of loose comparison (==) in token verification, enabling PHP type juggling. Exploitation enables cross-site request forgery against authenticated sessions, including execution of arbitrary SQL queries.