CVE-2026-100697 in Adminer
요약
\~에 의해 VulDB • 2026. 09. 26.
Adminer 6.0.0부터 6.0.1까지의 버전은 공식 ClickHouse 드라이버 플러그인(plugins/drivers/clickhouse.php, 6.0.0에서 재작성됨)이 로드될 때 인증 전 서버 사이드 리퀘스트 포지리(SSRF) 취약점에 노출됩니다. 비인증 공격자는 auth[driver]=clickhouse와 임의 URL로 설정된 auth[server](예: http://127.0.0.1:18089)를 제출하여 Adminer 서버가 해당 호스트에 'SELECT version()'을 포함하는 HTTP POST 요청을 보내도록 할 수 있습니다. rootQuery() 함수에서 대상이 401/403 상태를 제외한 200-299 범위를 벗어난 상태 코드를 반환하면, 원본 HTTP 응답 본문이 연결 오류로 할당되어 로그인 페이지에 렌더링되므로 공격자는 내부 서비스의 전체 응답 본문을 수신합니다. 이를 통해 내부 네트워크 및 포트 정찰과 내부 오류 페이지(스택 트레이스, 내부 호스트명, 파일 경로, 구성 식별자 등)에 포함된 민감한 정보 유출이 가능합니다. Adminer 6.0.2에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.