CVE-2026-16434

إصدارات Adminer من 4.6.0 إلى 5.5.0

يسمح إصلاح غير كامل في آلية التحقق من الصحة داخل ملف bootstrap.inc.php لبعض القيم في رأس X-Forwarded-Prefix بتجاوز الفحوصات الأمنية. ورغم أن النظام يحظر البادئات التي تبدأ بـ //، إلا أنه يسمح بالقيم التي يكون الحرف الثاني فيها شرطة مائلة عكسية، مثل /evil.com. ونظرًا لأن المتصفحات تقوم بتحويل الشرطات المائلة العكسية إلى شرطات مائلة أمامية، فإن مرجع مسار الشبكة هذا يستمر في REQUEST URI ويصل إلى دالة cookie path()، مما يؤثر على سمة Set-Cookie Path. يمكن استغلال هذه المشكلة إذا تمكنت الأجهزة العميلة من تعيين رأس X-Forwarded-Prefix، وعادةً ما يحدث ذلك بسبب تكوين خاطئ للوكيل العكسي أو عدم وجوده، مما يؤدي إلى نطاق غير طبيعي لمسار ملفات تعريف الارتباط.

تحديث Adminer إلى الإصدار 5.5.1.

تقييد قدرة الأجهزة العميلة على تعيين رأس X-Forwarded-Prefix من خلال تكوين الوكيل العكسي بشكل صحيح.