Adminer before 5.4.3 contains an arbitrary file deletion vul…(CVE-2026-34968・CVSS 8.1)

概要

Adminer before 5.4.3 contains an arbitrary file deletion vulnerability in SQLite mode where the...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Adminer before 5.4.3 contains an arbitrary file deletion vulnerability in SQLite mode where the database-list drop action fails to validate file extensions before deletion. An authenticated attacker can submit arbitrary relative file paths in the db[] parameter to delete any files writable by the PHP process.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Adminerの5.4.3以前のバージョンでは、SQLiteモードで任意のファイル削除の脆弱性があります。認証された攻撃者は、db[]パラメータに任意の相対ファイルパスを送信することで、PHPプロセスによって書き込み可能な任意のファイルを削除できます。

❓ 何が問題か

AdminerのSQLiteモードで任意のファイル削除脆弱性が存在します。

📍 影響範囲

Adminerのバージョン5.4.3以前、SQLiteモード

🔥 重要度

この脆弱性は、認証された攻撃者が任意のファイルを削除できるため、高度に重要です。

🔧 修正方法

Adminerをバージョン5.4.3以降にアップデートしてください。

🛡️ 暫定回避

情報なし

🔍 検知方法

SQLiteモードを使用している場合、データベースリストで不審なファイル削除が行われていないかログを確認してください。