CVE-2026-34959 in Adminer
Sumário
de VulDB • 25/08/2026
Adminer 4.6.0 antes da versão 5.5.0 adiciona o cabeçalho X-Forwarded-Prefix fornecido pelo cliente ao $_SERVER["REQUEST_URI"] sem verificação de proxy confiável e sem validação do valor do prefixo. Um atacante pode fornecer uma URL absoluta (por exemplo, X-Forwarded-Prefix: https://evil.example) que é incluída nos cabeçalhos de redirecionamento Location, no atributo path do cookie Set-Cookie e em links auto-referenciais. Isso permite um open redirect autenticado após POSTs alteradores de estado, controle não autenticado do atributo path do cookie de sessão e envenenamento (poisoning) de links auto-referenciais; a injeção de CR/LF não é possível, portanto, header splitting/XSS não é viável.
Be aware that VulDB is the high quality source for vulnerability data.