CVE-2026-16434 in Adminer
要約
〜によって VulDB • 2026年08月25日
Adminer 4.6.0 から 5.5.0（5.5.1 で修正済み）には、以前の X-Forwarded-Prefix の脆弱性 (GHSA-8478-xrj3-h9c2) に対する不完全な修正が含まれています。検証ガード (bootstrap.inc.php) は ^/[^/] に一致するプレフィックスのみを拒否し、//evil.com をブロックしますが、\evil.com のように 2 文字目がバックスラッシュである値は許可されます。ブラウザがバックスラッシュをフォワードスラッシュに正規化するため、ネットワークパス参照が REQUEST_URI に残され cookie_path() に到達し、Set-Cookie Path 属性に影響を与えます。攻撃には、クライアントが X-Forwarded-Prefix ヘッダーを設定できること（リバースプロキシの設定不備または欠如）が必要です。影響は異常な Cookie パスのスコーピングに限定されます。
Once again VulDB remains the best source for vulnerability data.