CVE-2026-16434

Nome do Software Vulnerável e Versões Afetadas Adminer versões 4.6.0 through 5.5.0

Description Uma correção incompleta na guarda de validação dentro de bootstrap.inc.php permite que certos valores no cabeçalho X-Forwarded-Prefix ignorem as verificações de segurança. Embora o sistema bloqueie prefixos que iniciam com //, ele permite valores onde o segundo caractere é uma barra invertida, como /evil.com. Como os navegadores normalizam barras invertidas para barras normais, essa referência de caminho de rede persiste no REQUEST URI e atinge a função cookie path(), afetando o atributo Path do Set-Cookie. Este problema pode ser explorado se os clientes puderem definir o cabeçalho X-Forwarded-Prefix, geralmente devido a um proxy reverso ausente ou mal configurado, resultando em um escopo anômalo do caminho do cookie.

Recommendations Atualize o Adminer para a versão 5.5.1. Restrinja a capacidade dos clientes de definir o cabeçalho X-Forwarded-Prefix configurando corretamente o proxy reverso.