Des failles dans AdminNeo exposent les sessions de bases de données au détournement et à la falsification de requêtes

Des chercheurs en cybersécurité ont identifié deux vulnérabilités distinctes dans AdminNeo, un outil open source de gestion de bases de données, exposant les installations au détournement de session et à l'exécution de commandes non autorisées. Selon des fiches de sécurité publiées par le service de veille sur les vulnérabilités VulDB, ces failles affectent les versions d'AdminNeo jusqu'à la 5.5.0 incluse. Les deux vulnérabilités trouvent leur origine dans le code utilitaire de base du logiciel, ciblant plus précisément le suivi de l'état d'authentification et la vérification des transactions. Enregistrés sous les identifiants officiels CVE-2026-96631 et CVE-2026-96629, ces problèmes mettent en lumière des défis structurels récurrents au sein des logiciels d'administration web gérant des connexions privilégiées à des bases de données.

## Key facts

- La base de données indépendante sur les vulnérabilités VulDB a publié des fiches relatives à deux vulnérabilités distinctes dans AdminNeo le 31 octobre 2026. - La première faille, désignée sous l'identifiant CVE-2026-96631, est une vulnérabilité de fixation de session liée à la gestion des cookies dans le fichier central functions.inc.php. - La seconde anomalie, désignée sous l'identifiant CVE-2026-96629, est un problème de falsification de requêtes intersites (CSRF) résidant dans la routine verify_token de functions.inc.php. - Il est confirmé que les deux vulnérabilités affectent le logiciel sur l'ensemble des publications jusqu'à la version 5.5.0. - L'application visée sert de couche de gestion web pour des bases de données relationnelles telles que MySQL, PostgreSQL, SQLite et MariaDB.

## What happened

Les fiches de divulgation publique répertoriées par VulDB indiquent que des chercheurs en sécurité ont évalué les mécanismes internes de validation de session d'AdminNeo et ont découvert deux failles d'implémentation distinctes dans son fichier de fonctions principal, functions.inc.php.

Le premier problème documenté, répertorié sous la référence CVE-2026-96631, concerne une mauvaise gestion de l'état de session par le biais des cookies du navigateur. Dans les architectures de sécurité web standard, une application doit régénérer son identifiant de session lors de tout changement de niveau de privilège — plus particulièrement lorsqu'un visiteur anonyme s'authentifie avec succès en tant qu'administrateur. Lorsqu'une application ne parvient pas à invalider ou à réémettre les jetons de session au franchissement des étapes d'authentification, une situation connue sous le nom de fixation de session se produit. Dans AdminNeo, les routines de gestion des cookies au sein de functions.inc.php permettent aux identifiants de session de persister, permettant ainsi à un tiers non autorisé de prédéterminer ou de conserver le contrôle d'un identifiant de session actif une fois qu'un utilisateur légitime se connecte.

Le second problème, enregistré sous le code CVE-2026-96629, compromet directement l'authenticité des transactions au sein de l'interface de l'outil. La faille a été localisée dans le composant verify_token de functions.inc.php, la fonction chargée de valider les jetons de falsification de requêtes intersites (CSRF). La protection CSRF repose sur la génération de jetons imprévisibles et propres à chaque utilisateur qui accompagnent les requêtes administratives modifiant l'état du système, comme le changement de paramètres de configuration, l'exécution de requêtes de base de données ou la suppression de tables. Les vulnérabilités au sein de la routine de vérification des jetons permettent à des requêtes conçues par des tiers externes de contourner la vérification, trompant ainsi l'application pour qu'elle traite des commandes arbitraires pour le compte d'un opérateur authentifié.

Selon VulDB, les deux divulgations indiquent que les versions du logiciel jusqu'à la 5.5.0 contiennent cette logique vulnérable. Bien que la méthodologie exacte utilisée pour découvrir ces faiblesses n'ait pas été détaillée dans les brèves alertes initiales, l'identification précise de noms de fonctions pointe vers une analyse du code source ou vers du fuzzing ciblé contre les pipelines centraux de traitement des requêtes de l'application.

## Why it matters

Les utilitaires de gestion de bases de données basés sur le web occupent une position particulièrement sensible au sein de l'infrastructure applicative moderne. Dans la mesure où des utilitaires comme AdminNeo sont conçus pour interagir directement avec les moteurs de stockage dorsaux, un attaquant qui compromet l'outil obtient de fait un accès de niveau racine (root) à la couche de données. Dans les environnements d'entreprise, d'hébergement et de développement, ces bases de données stockent souvent des dossiers clients sensibles, des registres financiers, des identifiants système et de la propriété intellectuelle confidentielle.

La fixation de session représente un danger critique car elle contourne la complexité habituelle des mots de passe et les protections d'authentification multifacteur. Si un attaquant parvient à forcer le navigateur d'un administrateur à adopter un identifiant de session connu avant son authentification — que ce soit par manipulation de liens, écoute clandestine sur le réseau ou manipulation locale de cookies —, il peut hériter de la session pleinement authentifiée de l'administrateur dès que ce dernier se connecte. Cela autorise une usurpation totale d'identité sans jamais découvrir les identifiants de base de données sous-jacents de la cible.

La falsification de requêtes intersites amplifie ce risque opérationnel. Les panneaux d'administration sont des cibles de choix pour les attaques CSRF, car les administrateurs laissent régulièrement leurs tableaux de bord de gestion ouverts dans des onglets de navigateur en arrière-plan pendant qu'ils naviguent sur le web. Si un administrateur authentifié consulte une page web compromise ou malveillante, des scripts intégrés peuvent transmettre discrètement des commandes administratives directement à l'interface d'AdminNeo. Si la routine verify_token ne valide pas rigoureusement les jetons, l'application peut exécuter des opérations critiques, notamment la création de comptes de base de données non autorisés, l'exfiltration de schémas de tables ou la suppression de bases de données de production névralgiques. Le rayon d'impact de telles attaques s'étend au-delà de l'interruption logicielle pour englober des responsabilités de conformité en matière de protection des données, des amendes réglementaires et des pertes de données irréversibles.

## The background

AdminNeo est une application web open source conçue comme une interface agile et légère pour administrer des bases de données, développée en tant que successeur moderne et fork dans la lignée d'Adminer. Adminer, initialement développé à partir de 2007 par l'ingénieur logiciel tchèque Jakub Vrána sous le nom de phpMinAdmin, a été conçu comme une alternative à phpMyAdmin, historiquement lourd et sujet aux vulnérabilités. Contrairement à phpMyAdmin, composé de milliers de fichiers individuels et de chaînes de dépendances complexes, Vrána a initié une architecture axée sur l'intégration de l'ensemble de l'outil dans un unique script PHP. Cette décision architecturale a rendu Adminer particulièrement populaire auprès des administrateurs système, des hébergeurs web et des développeurs indépendants en quête d'un déploiement rapide sur des serveurs distants sans nécessiter de procédures complexes d'installation de paquets.

Toutefois, l'approche minimaliste en un seul fichier ou à empreinte réduite pose des défis particuliers pour la maintenance de la sécurité. Les fonctions fondamentales — notamment la gestion des sessions, la création de jetons, le rendu des requêtes et l'abstraction des pilotes — sont fréquemment regroupées dans des scripts utilitaires partagés tels que functions.inc.php. Au cours des deux dernières décennies, les utilitaires de gestion web ont été confrontés de manière récurrente à des vulnérabilités de contournement d'authentification, de cross-site scripting (XSS), de falsification de requêtes côté serveur (SSRF) et de CSRF.

Adminer a lui-même fait l'objet de divulgations de sécurité retentissantes par le passé, notamment la faille CVE-2021-43008, qui impliquait une divulgation arbitraire de fichiers, parallèlement à des problèmes antérieurs où les configurations par défaut exposaient les bases de données locales à des connexions distantes. Le fork et le développement continu menés sous des projets tels qu'AdminNeo visaient à préserver l'approche légère du logiciel tout en modernisant sa compatibilité avec les versions plus récentes de PHP et l'évolution des normes web. Malgré ces modernisations, la logique fondamentale des applications web — en particulier la préservation de l'état et la comparaison cryptographique des jetons — demeure vulnérable à de subtiles erreurs de conception si les développeurs s'appuient sur des schémas de vérification hérités plutôt que sur des primitives renforcées issues de frameworks modernes.

## Reaction

À la date de divulgation, aucune réponse publique officielle des mainteneurs du logiciel n'a été diffusée sur les principaux canaux de distribution. Les divulgations sont apparues via des flux d'agrégation de vulnérabilités, sans être accompagnées de déclarations à la presse ni d'avis de sécurité simultanés sur les principaux dépôts de code collaboratif.

Les responsables de la sécurité et les contributeurs communautaires aux outils de bases de données open source réagissent généralement à de tels rapports en publiant des pull requests, en préparant des correctifs et en publiant des avis de sécurité sur des plateformes telles que GitHub. Les mainteneurs de systèmes en aval — comme les gestionnaires de paquets de distributions Linux, les mainteneurs de conteneurs Docker et les développeurs de panneaux de contrôle web — n'ont pas encore émis d'avis synchronisés en aval. Les outils de base de données étant fréquemment déployés sous forme de scripts autonomes ponctuels plutôt que par l'intermédiaire de gestionnaires de paquets centralisés, les experts en sécurité prévoient que la remédiation en aval dépendra largement de démarches manuelles de sensibilisation et de mises à jour administratives auto-hébergées, plutôt que d'un déploiement automatisé de correctifs à grande échelle.

## What we don't know yet

Plusieurs détails techniques restent à confirmer dans la documentation initiale des vulnérabilités. Le compte rendu de VulDB ne fournit pas les chaînes vectorielles complètes du système CVSS (Common Vulnerability Scoring System) ni les scores de base définitifs pour CVE-2026-96631 ou CVE-2026-96629, laissant en attente leur évaluation de gravité formelle et standardisée. En outre, les registres ne précisent pas si une exploitation active a été observée dans des environnements de production ou si du code d'exploitation de preuve de concept fonctionnel a circulé parmi des cybercriminels.

Il reste également difficile de savoir si une mise à jour officielle en amont, telle qu'une version 5.5.1, a été finalisée pour remédier simultanément aux deux failles. Les conditions préalables précises pour mener une attaque doivent aussi être clarifiées : notamment si le défaut CSRF dans verify_token résulte d'une absence totale de validation des jetons, d'un algorithme de comparaison inapproprié sensible aux attaques temporelles, ou de l'acceptation de jetons vides ou mal formatés. Les réponses à ces questions détermineront la facilité avec laquelle un attaquant externe peut orchestrer des attaques automatisées contre les déploiements ciblés.

## What to watch

Les administrateurs et les organisations exploitant des installations d'AdminNeo doivent surveiller plusieurs étapes clés au cours des prochains jours. Le principal indicateur sera la publication de notes de correctif officielles ou d'une version supérieure à la 5.5.0 dans le dépôt officiel du code source du projet, ce qui fournira des diffs de code précisant les correctifs exacts apportés dans functions.inc.php.

En l'absence de mise à jour officielle immédiate, le personnel de sécurité doit déterminer si des mesures d'atténuation défensives sont envisageables au niveau du serveur web et du périmètre réseau. Les contrôles pertinents comprennent la restriction de l'accès réseau aux portails d'administration par le biais de réseaux privés virtuels (VPN) internes ou de listes d'adresses IP autorisées, afin d'éviter que le tableau de bord ne soit exposé à l'internet public. Les administrateurs doivent également configurer des attributs de cookies SameSite explicites (comme SameSite=Strict) sur les en-têtes de session du serveur web pour atténuer la falsification de requêtes intersites, tout en s'assurant que la régénération de session est imposée au niveau de l'environnement d'exécution PHP. Enfin, le suivi de la National Vulnerability Database (NVD) pour obtenir les scores formels de gravité CVSS et l'analyse technique offrira des repères définitifs afin de hiérarchiser l'application des correctifs au sein des organisations.

Les informations contenues dans cet article ont été établies à partir des divulgations de vulnérabilités de sécurité publiées par VulDB.