CVE-2026-59978

Nome do Software Vulnerável e Versões Afetadas AdminNeo versões 4.6.2 até 5.4.9

Descrição O endpoint ?script=version aceita dados POST sem validação de origem, CSRF ou de tipo de parâmetro. Um invasor remoto pode fornecer um parâmetro version[], que é processado como um array PHP e serializado no cache compartilhado adminneo.version pelo arquivo bootstrap.inc.php. Posteriormente, o design.inc.php passa esse valor armazenado em cache para as funções cookie() e rawurlencode(), resultando em um TypeError porque as funções esperam uma string em vez de um array. Isso causa uma Negação de Serviço onde a instância retorna erros HTTP 500 para todos os usuários por vinte e quatro horas ou até que o cache seja limpo. Isso ocorre se o servidor web tiver permissões de escrita para o cache compartilhado.

Recomendações Atualize para a versão 5.5.0. Como medida paliativa, configure o servidor web para tornar o cache compartilhado não gravável.