CVE-2026-16434 in Adminer
요약
\~에 의해 VulDB • 2026. 08. 25.
Adminer 4.6.0부터 5.5.0(5.5.1에서 수정됨)에는 이전의 X-Forwarded-Prefix 취약점(GHSA-8478-xrj3-h9c2)에 대한 불완전한 수정이 포함되어 있습니다. 검증 가드(bootstrap.inc.php)는 ^/[^/] 패턴과 일치하는 접두사만 거부하므로 //evil.com은 차단되지만, 두 번째 문자가 역슬래시(\)인 /\evil.com 같은 값은 허용됩니다. 브라우저에서 역슬래시를 정방향 슬래시로 정규화하기 때문에 네트워크 경로 참조가 REQUEST_URI에 그대로 남아 cookie_path() 함수에 도달하여 Set-Cookie Path 속성에 영향을 미칩니다. 악용을 위해서는 클라이언트가 X-Forwarded-Prefix 헤더를 설정할 수 있어야 하며(잘못 구성된 리버스 프록시 또는 부재), 영향은 비정상적인 쿠키 경로 스코핑으로 제한됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.