CVE-2026-56706
Publiée le 2026-08-25 · Dernière modification le 2026-10-12
Les outils de gestion de base de données Adminer antérieurs à la version 5.4.3 sont affectés par une faille dans la gestion des jetons de sécurité. Un attaquant capable de voir l'un de vos jetons (via l'interception du trafic réseau ou les journaux du navigateur) ou réussissant à vous inciter à cliquer sur un lien malveillant peut forger ses propres jetons pour exécuter des requêtes SQL arbitraires en votre nom. Bien que cela nécessite des conditions spécifiques — comme l'accès du attaquant au réseau et le fait que vous soyez connecté — cela lui permet de manipuler entièrement votre base de données.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Adminer before 5.4.3 uses a CSRF token scheme that transmits both the XOR mask and the masked value in every token (format (rand XOR secret):rand), allowing anyone who observes a single CSRF token (e.g., via network sniffing, log files, Referrer header, or XSS) to recover the session secret with a single XOR operation and forge unlimited valid tokens. The implementation is further weakened by a low-entropy session token (rand(1,1e6), ~20 bits) that permits blind brute-force, and by use of loose comparison (==) in token verification, enabling PHP type juggling. Exploitation enables cross-site request forgery against authenticated sessions, including execution of arbitrary SQL queries.