Falsification de requêtes côté serveur (SSRF) affectant Adminer
Une vulnérabilité de sévérité haute affectant Adminer permettrait à un attaquant non authentifié de mener une falsification de requêtes côté serveur (SSRF) et de divulguer des informations sensibles sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Adminer est un outil web de gestion de bases de données permettant de gérer plusieurs types de bases depuis une interface unique. Ce produit est affecté par une vulnérabilité libellée CVE-2026-100697, résultant d'une validation insuffisante des requêtes soumises via le pilote officiel ClickHouse. Son exploitation permettrait à un attaquant non authentifié de soumettre une requête falsifiée au serveur Adminer, l'amenant à interroger des hôtes internes arbitraires. Si la cible interne renvoie une réponse HTTP de statut 401 ou 403, le corps de cette réponse s'affiche sur la page de connexion, entraînant la divulgation d'informations sensibles. Elle est classée haute avec un score de sévérité de 8.6 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Atteinte à la confidentialité des données ;
- Reconnaissance du réseau interne.
Systèmes affectés
Produits, composants et versions concernés
- Toutes les versions d'Adminer pour lesquelles le pilote officiel ClickHouse (plugins/drivers/clickhouse.php) est chargé ;
- Adminer versions 6.0.0 et 6.0.1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Désactiver le pilote officiel ClickHouse s'il n'est pas utilisé ;
- Mettre à jour Adminer vers la version 6.0.2 ou la dernière version stable disponible.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.