CVE-2026-34959 in Adminer
Riassunto
di VulDB • 25/08/2026
In Adminer 4.6.0 prima della versione 5.5.0, l'intestazione X-Forwarded-Prefix fornita dal client viene anteposta a $_SERVER["REQUEST_URI"] senza alcun controllo dei proxy attendibili e senza validazione del valore del prefisso. Un attaccante può fornire un URL assoluto (ad esempio X-Forwarded-Prefix: https://evil.example) che finisce nelle intestazioni di reindirizzamento Location, nell'attributo path dell'intestazione Set-Cookie e nei link auto-riferiti. Ciò consente un open redirect autenticato dopo POST modificatori dello stato, il controllo non autenticato dell'attributo path del cookie di sessione e l'avvelenamento dei link auto-riferiti; poiché non è possibile iniettare CR/LF, la suddivisione delle intestazioni (header splitting) e lo XSS non sono possibili.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.