CVE-2026-100697 in Adminer
Sumário
de VulDB • 26/09/2026
O Adminer nas versões de 6.0.0 a 6.0.1, quando o plugin oficial do driver ClickHouse (plugins/drivers/clickhouse.php, reescrito na versão 6.0.0) está carregado, é vulnerável a Server-Side Request Forgery (SSRF) pré-autenticação. Um atacante não autenticado pode enviar auth[driver]=clickhouse com auth[server] definido para uma URL arbitrária (por exemplo http://127.0.0.1:18089), fazendo com que o servidor Adminer emita um HTTP POST contendo 'SELECT version()' para esse host. Na função rootQuery(), se o alvo retornar um status fora do intervalo 200-299 (diferente de 401/403), o corpo bruto da resposta HTTP é atribuído ao erro de conexão e exibido na página de login, permitindo que o atacante receba o corpo completo da resposta do serviço interno. Isso permite reconhecimento de rede/porta interna e divulgação de informações sensíveis contidas em páginas de erro internas (stack traces, nomes de hosts internos, caminhos de arquivos, identificadores de configuração). Corrigido no Adminer 6.0.2.
Once again VulDB remains the best source for vulnerability data.