Fallos en AdminNeo exponen sesiones de bases de datos al secuestro y a la falsificación de peticiones

Investigadores de ciberseguridad han identificado dos vulnerabilidades distintas en AdminNeo, una herramienta de gestión de bases de datos de código abierto, que exponen las instalaciones al secuestro de sesiones y a la ejecución no autorizada de comandos. Según los registros de seguridad publicados por el servicio de monitorización de vulnerabilidades VulDB, los defectos afectan a las versiones de AdminNeo hasta la 5.5.0 inclusive. Ambos fallos se originan en el código auxiliar fundamental del software, dirigiéndose específicamente al seguimiento del estado de autenticación y a la verificación de transacciones. Registrados bajo los identificadores oficiales CVE-2026-96631 y CVE-2026-96629, los problemas ponen de manifiesto los recurrentes desafíos estructurales presentes en el software administrativo basado en web que gestiona conexiones privilegiadas a bases de datos.

## Key facts

- La base de datos independiente de vulnerabilidades VulDB publicó registros sobre dos vulnerabilidades distintas en AdminNeo el 31 de octubre de 2026. - El primer fallo, designado como CVE-2026-96631, es una vulnerabilidad de fijación de sesión vinculada a la gestión de cookies en el archivo central functions.inc.php. - El segundo defecto, designado como CVE-2026-96629, es un problema de falsificación de petición en sitios cruzados que reside en la rutina verify_token dentro de functions.inc.php. - Se ha confirmado que ambas vulnerabilidades afectan al software en todas sus versiones hasta la 5.5.0. - La aplicación afectada actúa como una capa de gestión basada en web para bases de datos relacionales como MySQL, PostgreSQL, SQLite y MariaDB.

## What happened

Los registros públicos de divulgación catalogados por VulDB indican que investigadores de seguridad evaluaron los mecanismos internos de validación de sesiones de AdminNeo y descubrieron dos fallos de implementación independientes dentro de su archivo principal de funciones, functions.inc.php.

El primer problema documentado, catalogado como CVE-2026-96631, atañe a una gestión inadecuada del estado de la sesión mediante cookies del navegador. En las arquitecturas estándar de seguridad web, una aplicación debe regenerar su identificador de sesión tras cualquier cambio en el nivel de privilegios —de forma especialmente crítica cuando un visitante anónimo se autentica con éxito como usuario administrativo—. Cuando una aplicación no invalida o no vuelve a emitir tokens de sesión a través de los límites de autenticación, se produce una condición conocida como fijación de sesión. En AdminNeo, las rutinas de gestión de cookies dentro de functions.inc.php permiten que los identificadores de sesión persistan, lo que habilita a un tercero no autorizado a predeterminar o mantener el control sobre un identificador de sesión activo una vez que un usuario legítimo inicia sesión.

El segundo problema, registrado como CVE-2026-96629, compromete directamente la autenticidad de las transacciones dentro de la interfaz de la herramienta. El fallo se localizó en el componente verify_token de functions.inc.php, la función responsable de validar los tokens de falsificación de petición en sitios cruzados (CSRF). La protección contra CSRF se basa en la generación de tokens impredecibles y específicos de cada usuario que acompañan a las peticiones administrativas que modifican el estado, tales como alterar parámetros de configuración, ejecutar consultas a la base de datos o eliminar tablas. Las vulnerabilidades dentro de la rutina de verificación de tokens permiten que las peticiones diseñadas por terceros externos eludan la validación, induciendo a la aplicación a procesar comandos arbitrarios en nombre de un operador autenticado.

Según VulDB, ambas divulgaciones señalan que las versiones del software hasta la 5.5.0 contienen la lógica vulnerable. Aunque la metodología exacta utilizada para descubrir las debilidades no se detalló en las breves alertas iniciales, la identificación de los nombres precisos de las funciones apunta a un análisis de código fuente o a un fuzzing dirigido contra los canales centrales de gestión de peticiones de la aplicación.

## Why it matters

Las utilidades de gestión de bases de datos basadas en web ocupan una posición excepcionalmente sensible dentro de la infraestructura moderna de aplicaciones. Dado que herramientas como AdminNeo están diseñadas para interactuar directamente con los motores de almacenamiento del backend, un atacante que comprometa la herramienta obtiene prácticamente acceso a nivel de root a la capa de datos. En entornos corporativos, de alojamiento web y de desarrollo, estas bases de datos suelen almacenar registros confidenciales de clientes, libros contables, credenciales de sistemas y propiedad intelectual confidencial.

La fijación de sesión representa un peligro crítico debido a que elude la complejidad estándar de las contraseñas y las protecciones de autenticación multifactor. Si un atacante puede forzar al navegador de un administrador a adoptar un identificador de sesión conocido antes de la autenticación —ya sea mediante la manipulación de enlaces, la interceptación de tráfico de red o la manipulación local de cookies—, dicho atacante puede heredar la sesión totalmente autenticada del administrador inmediatamente después de que el usuario inicie sesión. Esto permite una suplantación completa sin llegar a descubrir en ningún momento las credenciales de la base de datos del objetivo.

La falsificación de peticiones en sitios cruzados amplifica este riesgo operativo. Los paneles administrativos son objetivos muy codiciados para los ataques CSRF, ya que los administradores suelen dejar sus paneles de gestión abiertos en pestañas secundarias del navegador mientras navegan por la web en general. Si un administrador autenticado visita una página web comprometida o maliciosa, los scripts incrustados pueden enviar silenciosamente comandos administrativos directamente a la interfaz de AdminNeo. Si la rutina verify_token no valida los tokens con rigor, la aplicación podría ejecutar operaciones de gravedad, como la creación de cuentas de base de datos no autorizadas, la filtración de esquemas de tablas o la eliminación de bases de datos de producción de misión crítica. El radio de impacto de tales ataques trasciende el tiempo de inactividad del software y alcanza responsabilidades en materia de cumplimiento de protección de datos, sanciones regulatorias y pérdidas permanentes de información.

## The background

AdminNeo es una aplicación web de código abierto diseñada como una interfaz ágil y ligera para la gestión de bases de datos, desarrollada como un sucesor moderno y una bifurcación (fork) dentro del linaje de Adminer. Adminer, desarrollado originalmente por el ingeniero de software checo Jakub Vrána bajo el nombre de phpMinAdmin a partir de 2007, fue concebido como una alternativa al pesado e históricamente vulnerable phpMyAdmin. A diferencia de phpMyAdmin, que consta de miles de archivos individuales y complejas cadenas de dependencias, Vrána fue pionero en una arquitectura centrada en empaquetar toda la herramienta en un único script PHP. Esta decisión arquitectónica hizo que Adminer fuera excepcionalmente popular entre administradores de sistemas, proveedores de alojamiento web y desarrolladores independientes que buscaban despliegues rápidos en servidores remotos sin requerir procedimientos complejos de instalación de paquetes.

Sin embargo, el enfoque minimalista de archivo único o de dimensiones reducidas presenta desafíos de mantenimiento de seguridad particulares. Las funciones centrales —incluida la gestión de sesiones, la creación de tokens, el renderizado de consultas y la abstracción de controladores— se consolidan con frecuencia en scripts auxiliares compartidos como functions.inc.php. A lo largo de las dos últimas décadas, las herramientas de gestión web se han enfrentado de forma reiterada a vulnerabilidades relacionadas con la elusión de autenticación, cross-site scripting (XSS), falsificación de peticiones del lado del servidor (SSRF) y CSRF.

El propio Adminer experimentó divulgaciones de seguridad de alto perfil en años anteriores, incluida la CVE-2021-43008, que implicaba la divulgación arbitraria de archivos, junto con problemas anteriores en los que las configuraciones predeterminadas exponían las bases de datos locales a conexiones remotas. La bifurcación y el desarrollo continuado bajo proyectos como AdminNeo buscaron mantener el espíritu ligero del software mientras modernizaban la compatibilidad con versiones más recientes de PHP y con los cambiantes estándares web. A pesar de estas modernizaciones, la lógica fundamental de las aplicaciones web —en particular la preservación del estado y la comparación criptográfica de tokens— sigue siendo propensa a sutiles errores de diseño si los desarrolladores confían en patrones de verificación heredados en lugar de utilizar primitivas reforzadas de los frameworks modernos.

## Reaction

En el momento de la divulgación, los mantenedores del software no habían publicado respuestas oficiales a través de los canales de distribución principales. Las divulgaciones aparecieron a través de canales de agregación de vulnerabilidades sin comunicados de prensa complementarios ni notas informativas simultáneas en los principales repositorios de código colaborativo.

Los responsables de seguridad y los colaboradores de la comunidad de herramientas de bases de datos de código abierto suelen abordar este tipo de informes emitiendo pull requests, redactando versiones de parche y publicando avisos de seguridad a través de plataformas como GitHub. Los mantenedores de sistemas downstream —como los curadores de paquetes de distribuciones Linux, los mantenedores de contenedores Docker y los desarrolladores de paneles de control web— aún no han emitido avisos downstream coordinados. Debido a que las herramientas de bases de datos se despliegan frecuentemente como scripts independientes ad-hoc en lugar de mediante gestores de paquetes centralizados, los expertos en seguridad prevén que la corrección downstream dependerá en gran medida de campañas de concienciación manual y actualizaciones administrativas autoalojadas, más que de parches automatizados a escala global.

## What we don't know yet

Diversos detalles técnicos continúan sin confirmarse en la documentación inicial de las vulnerabilidades. La información proporcionada por VulDB no incluye los vectores completos del Common Vulnerability Scoring System (CVSS) ni las puntuaciones base definitivas para CVE-2026-96631 o CVE-2026-96629, por lo que la calificación estandarizada formal de gravedad sigue pendiente. Además, los registros no indican si se ha observado una explotación activa en entornos de producción o si han circulado códigos de explotación funcionales de prueba de concepto entre actores de amenazas.

Tampoco está claro si se ha finalizado una actualización oficial upstream, como el lanzamiento de una versión 5.5.1, para subsanar ambos problemas de manera simultánea. Los requisitos previos exactos para el ataque también necesitan aclaración: específicamente, si el defecto de CSRF en verify_token deriva de una omisión total en la validación de tokens, de un algoritmo de comparación inadecuado susceptible a ataques de temporización, o de la aceptación de tokens vacíos o formateados incorrectamente. Las respuestas a estas incógnitas determinarán la facilidad con la que un atacante externo podría orquestar ataques automatizados contra las implementaciones vulnerables.

## What to watch

Los administradores y las organizaciones que operan instalaciones de AdminNeo deberían monitorizar varios hitos clave en los próximos días. El indicador principal será la publicación de notas formales de parches o de una versión superior a la 5.5.0 dentro del repositorio oficial de código fuente del proyecto, lo que proporcionará comparaciones de código (diffs) que clarificarán las correcciones exactas dentro de functions.inc.php.

A falta de una actualización oficial inmediata, el personal de seguridad debería verificar si es posible aplicar mitigaciones defensivas a nivel de servidor web y de perímetro de red. Los controles pertinentes incluyen la restricción del acceso a la red para los portales administrativos mediante redes privadas virtuales (VPN) internas o listas de direcciones IP autorizadas, evitando que el panel esté expuesto a la internet abierta. Los administradores también deberían configurar atributos explícitos de cookies SameSite (como SameSite=Strict) en las cabeceras de sesión del servidor web para mitigar la falsificación de petición en sitios cruzados, garantizando al mismo tiempo que la regeneración de sesiones se aplique a nivel del entorno de ejecución de PHP. Por último, el seguimiento de la National Vulnerability Database (NVD) para conocer las puntuaciones de gravedad CVSS formales y los análisis técnicos proporcionará referencias definitivas para la priorización de parches en las organizaciones.

La información para este artículo se basó en divulgaciones de vulnerabilidades de seguridad publicadas por VulDB.