Summary
Path traversal in Adminer (CVE-2026-34968). Data can be tampered with by attackers. Exploitable via POST /adminer/sqlite.php.
Original description
The description as published by the source.
Adminer before 5.4.3 contains an arbitrary file deletion vulnerability in SQLite mode where the database-list drop action fails to validate file extensions before deletion. An authenticated attacker can submit arbitrary relative file paths in the db[] parameter to delete any files writable by the PHP process.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Adminerの5.4.3以前のバージョンでは、SQLiteモードで任意のファイル削除の脆弱性があります。認証された攻撃者は、db[]パラメータに任意の相対ファイルパスを送信することで、PHPプロセスによって書き込み可能な任意のファイルを削除できます。
AdminerのSQLiteモードで任意のファイル削除脆弱性が存在します。
Adminerのバージョン5.4.3以前、SQLiteモード
この脆弱性は、認証された攻撃者が任意のファイルを削除できるため、高度に重要です。
Adminerをバージョン5.4.3以降にアップデートしてください。
情報なし
SQLiteモードを使用している場合、データベースリストで不審なファイル削除が行われていないかログを確認してください。
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Debian DEBIAN-CVE-2026-34968 adminer
- Ubuntu UBUNTU-CVE-2026-34968 adminer
References
- web github.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com