CVE-2026-100697 in Adminer
Сводка
по VulDB • 26.09.2026
Adminer версий с 6.0.0 по 6.0.1 уязвим к серверной подделке межсайтовых запросов (SSRF) до аутентификации при загрузке официального плагина драйвера ClickHouse (plugins/drivers/clickhouse.php, переписанного в версии 6.0.0). Неавторизованный злоумышленник может передать параметр auth[driver]=clickhouse с указанием произвольного URL для auth[server] (например, http://127.0.0.1:18089), что заставит сервер Adminer отправить HTTP POST-запрос, содержащий 'SELECT version()', на указанный хост. В функции rootQuery(), если целевой узел возвращает статусный код вне диапазона 200–299 (исключая коды 401 и 403), необработанное тело HTTP-ответа присваивается ошибке соединения и отображается на странице входа, в результате чего злоумышленник получает полное тело ответа внутреннего сервиса. Это позволяет проводить разведку внутренней сети/портов и раскрывать конфиденциальную информацию, содержащуюся во внутренних страницах ошибок (трассировки стека, внутренние имена хостов, пути к файлам, идентификаторы конфигурации). Исправлено в Adminer 6.0.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.