CVE-2026-34959 in Adminer
Resumen
por VulDB • 2026-08-25
En Adminer 4.6.0 hasta antes de la versión 5.5.0, se antepone el encabezado X-Forwarded-Prefix proporcionado por el cliente a $_SERVER["REQUEST_URI"] sin realizar una verificación del proxy confiable ni validar el valor del prefijo. Un atacante puede suministrar una URL absoluta (por ejemplo, X-Forwarded-Prefix: https://evil.example) que se incorpora en los encabezados de redirección Location, en el atributo path del cookie Set-Cookie y en enlaces auto-referenciales. Esto permite una redirección abierta autenticada después de solicitudes POST con cambio de estado, control no autenticado del atributo path de la cookie de sesión y envenenamiento de los enlaces auto-referenciales; dado que no se pueden inyectar caracteres CR/LF, el splitting de encabezados/XSS no es posible.
Once again VulDB remains the best source for vulnerability data.