CVE-2026-34959

Nome do Software Vulnerável e Versões Afetadas Adminer versões 4.6.0 até 5.4.x

Descrição O software prefixa o cabeçalho X-Forwarded-Prefix fornecido pelo cliente ao $ SERVER["REQUEST URI"] sem realizar uma verificação de proxy confiável ou validar o valor do prefixo. Um invasor pode fornecer uma URL absoluta através do cabeçalho X-Forwarded-Prefix, que é então incorporada aos cabeçalhos de redirecionamento Location, ao atributo de caminho Set-Cookie e a links autorreferenciais. Isso permite um redirecionamento aberto autenticado após requisições POST de alteração de estado, controle não autenticado do atributo de caminho do cookie de sessão e o envenenamento de links autorreferenciais. O desmembramento de cabeçalhos (header splitting) e o Cross-Site Scripting (XSS) não são possíveis, pois caracteres de Retorno de Carro/Alimentação de Linha (CR/LF) não podem ser injetados.

Recomendações Atualize para a versão 5.5.0 ou posterior.