Veille CVE

‹ Retour à la liste

CVE-2026-56705

9.8 Critique

Publiée le 25/08/2026 à 04:16 · Modifiée le 12/10/2026 à 17:10 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

Adminer before 5.4.3 fails to sanitize the server field before constructing a PDO DSN string, allowing unauthenticated attackers to inject ODBC parameters via semicolons. Attackers can inject TraceFile and TraceOn parameters to write PHP code to the web root, achieving remote code execution when the trace file is accessed.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 9.3 Critique disclosure@vulncheck.com CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 9.8 Critique disclosure@vulncheck.com CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Faiblesses (CWE)

Références

Ailleurs