Multiples vulnérabilités affectant Adminer

Adminer est un outil web de gestion de bases de données permettant aux administrateurs de gérer facilement des bases MySQL, PostgreSQL, SQLite, MS SQL, Oracle et MongoDB. Ce produit est affecté par plusieurs vulnérabilités libellées comme suit : CVE-2026-56705 : vulnérabilité résultant d'une absence d'assainissement du champ serveur avant la construction d'une chaîne DSN PDO. Son exploitation permettrait à un attaquant non authentifié d'injecter des paramètres ODBC afin d'écrire du code PHP dans le répertoire racine du site et d'obtenir une exécution de code arbitraire à distance. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS v3.1. CVE-2026-56702 : vulnérabilité causée par une fonctionnalité de téléversement de fichiers sans restriction dans l'extension AdminerFileUpload, qui exploite une liste blanche d'extensions permissive par défaut. Son exploitation permettrait à un attaquant authentifié de téléverser des fichiers PHP (webshells) et d'exécuter du code arbitraire en tant qu'utilisateur du serveur web. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS v3.1. CVE-2026-34968 : vulnérabilité de suppression arbitraire de fichiers en mode SQLite, l'action de suppression de la liste des bases de données ne validant pas les extensions de fichiers. Son exploitation permettrait à un attaquant authentifié de soumettre des chemins relatifs arbitraires afin de supprimer tout fichier accessible en écriture par le processus PHP. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS v3.1. CVE-2026-56703 : vulnérabilité d'exécution de code à distance dans le traitement des requêtes SQLite, VACUUM INTO n'étant pas bloqué malgré les restrictions sur ATTACH. Son exploitation permettrait à un attaquant authentifié d'exécuter VACUUM INTO pour écrire du code PHP à des emplacements arbitraires et exécuter des commandes sur le serveur. Elle est classée haute avec un score de sévérité de 7.2 selon le CVSS v3.1. CVE-2026-56706 : vulnérabilité due à un mécanisme de jeton CSRF qui transmet à la fois le masque XOR et la valeur masquée, ce qui permet à quiconque observe un seul jeton de retrouver le secret de session et de forger un nombre illimité de jetons valides. Son exploitation permettrait de mener des falsifications de requêtes intersites contre des sessions authentifiées, y compris l'exécution de requêtes SQL arbitraires. Elle est classée moyenne avec un score de sévérité de 6.8 selon le CVSS v3.1. CVE-2026-56704 : vulnérabilité causée par l'insertion non assainie de la chaîne de version du serveur de base de données dans des balises script dotées de nonces CSP valides. Son exploitation permettrait à un acteur malveillant contrôlant un serveur MySQL malveillant de sortir du contexte JavaScript et d'exécuter du code arbitraire, en contournant les protections de la politique de sécurité du contenu (CSP). Elle est classée moyenne avec un score de sévérité de 6.1 selon le CVSS v3.1. CVE-2026-34964 : vulnérabilité de falsification de requêtes côté serveur (SSRF) dans le validateur du champ serveur du formulaire de connexion, qui n'inspecte que les entiers initiaux pour les ports privilégiés et ne rejette pas les valeurs de port non numériques. Son exploitation permettrait à un attaquant d'injecter des clés DSN PDO pour contourner la restriction des ports privilégiés et d'établir des connexions TCP vers des hôtes et ports internes arbitraires avant toute authentification. Elle est classée moyenne avec un score de sévérité de 5.8 selon le CVSS v3.1. CVE-2026-34967 : vulnérabilité d'écriture arbitraire de fichiers dans le paramètre ns de plugins/sql-log.php lorsque l'extension sql-log est activée. Son exploitation permettrait à un attaquant authentifié de fournir des séquences de traversée de répertoires pour écrire des fichiers .sql arbitraires, au contenu contrôlé par l'attaquant, dans tout répertoire accessible en écriture sur l'hôte. Elle est classée moyenne avec un score de sévérité de 5.4 selon le CVSS v3.1. CVE-2026-34959 : vulnérabilité due au fait qu'Adminer préfixe l'en-tête X-Forwarded-Prefix fourni par le client à $_SERVER["REQUEST_URI"] sans vérifier que le proxy est de confiance ni valider la valeur du préfixe. Son exploitation permettrait une redirection ouverte authentifiée après des requêtes POST modifiant l'état, le contrôle non authentifié de l'attribut path du cookie de session et l'empoisonnement de liens autoréférents. Elle est classée moyenne avec un score de sévérité de 4.7 selon le CVSS v3.1. CVE-2026-16434 : vulnérabilité constituant une correction incomplète d'une précédente faille liée à X-Forwarded-Prefix. La validation rejette //evil.com mais accepte des valeurs comme /\evil.com, dont le second caractère est une barre oblique inverse que les navigateurs normalisent en barre oblique. Son exploitation aurait un impact limité à une portée anormale du chemin du cookie. Elle est classée moyenne avec un score de sévérité de 5.4 selon le CVSS V3.1.

• CVE-2026-56705, CVE-2026-56704, CVE-2026-56706, CVE-2026-56702, CVE-2026-56703, CVE-2026-34968 : Adminer versions antérieures à 5.4.3 ;
• CVE-2026-34967 : Adminer versions 5.3.0 à 5.4.2 avec l'extension sql-log activée ;
• CVE-2026-34964, CVE-2026-34959 : Adminer versions antérieures à 5.5.0 ;
• CVE-2026-16434 : Adminer versions 4.6.0 à 5.5.0.