Falhas no AdminNeo expõem sessões de banco de dados a sequestro e falsificação de requisições

Pesquisadores de cibersegurança identificaram duas vulnerabilidades distintas no AdminNeo, uma ferramenta de código aberto para gerenciamento de bancos de dados, que expõem instalações ao sequestro de sessão e à execução não autorizada de comandos. De acordo com registros de segurança publicados pelo serviço de monitoramento de vulnerabilidades VulDB, os defeitos afetam versões do AdminNeo até a 5.5.0 inclusive. Ambas as falhas têm origem no código auxiliar fundamental do software, visando especificamente o rastreamento do estado de autenticação e a verificação de transações. Registrados sob os identificadores oficiais CVE-2026-96631 e CVE-2026-96629, os problemas destacam desafios estruturais recorrentes em softwares administrativos baseados na web que lidam com conexões privilegiadas a bancos de dados.

## Key facts

- O banco de dados independente de vulnerabilidades VulDB publicou registros de duas vulnerabilidades distintas no AdminNeo em 31 de outubro de 2026. - A primeira falha, designada como CVE-2026-96631, é uma vulnerabilidade de fixação de sessão ligada à manipulação de cookies dentro do arquivo central functions.inc.php. - O segundo defeito, designado como CVE-2026-96629, é um problema de falsificação de requisição entre sites (CSRF) localizado na rotina verify_token em functions.inc.php. - Ambas as vulnerabilidades foram confirmadas como afetando o software em versões até a 5.5.0. - O aplicativo visado serve como uma camada de gerenciamento baseada na web para bancos de dados relacionais, incluindo MySQL, PostgreSQL, SQLite e MariaDB.

## What happened

Registros de divulgação pública catalogados pelo VulDB indicam que pesquisadores de segurança avaliaram os mecanismos internos de validação de sessão do AdminNeo e descobriram duas falhas distintas de implementação em seu arquivo principal de funções, o functions.inc.php.

O primeiro problema documentado, catalogado sob o CVE-2026-96631, envolve o gerenciamento inadequado do estado da sessão por meio de cookies do navegador. Em arquiteturas padrão de segurança web, um aplicativo deve regenerar seu identificador de sessão mediante qualquer alteração no nível de privilégio — principalmente quando um visitante anônimo se autentica com sucesso como um usuário administrativo. Quando uma aplicação falha em invalidar ou reemitir tokens de sessão através das fronteiras de autenticação, ocorre uma condição conhecida como fixação de sessão. No AdminNeo, as rotinas de manipulação de cookies em functions.inc.php permitem que os identificadores de sessão persistam, possibilitando que um terceiro não autorizado pré-determine ou mantenha o controle sobre um identificador de sessão ativo assim que um usuário legítimo fizer login.

O segundo problema, registrado como CVE-2026-96629, compromete diretamente a autenticidade das transações na interface da ferramenta. A falha foi localizada no componente verify_token de functions.inc.php, a função responsável por validar tokens de falsificação de requisição entre sites (CSRF). A proteção contra CSRF baseia-se na geração de tokens imprevisíveis e específicos do usuário que acompanham requisições administrativas que alteram o estado do sistema, como modificação de definições de configuração, execução de consultas a bancos de dados ou exclusão de tabelas. Vulnerabilidades na rotina de verificação de token permitem que requisições elaboradas por terceiros externos contornem a verificação, induzindo o aplicativo a processar comandos arbitrários em nome de um operador autenticado.

Segundo o VulDB, ambas as divulgações apontam versões de software até a 5.5.0 como contendo a lógica vulnerável. Embora a metodologia exata usada para descobrir as fraquezas não tenha sido detalhada nos breves alertas iniciais, a identificação de nomes de funções precisos indica análise de código-fonte ou testes direcionados de fuzzing contra os pipelines centrais de tratamento de requisições do aplicativo.

## Why it matters

Utilitários de gerenciamento de bancos de dados baseados na web ocupam uma posição excepcionalmente sensível na infraestrutura moderna de aplicações. Como ferramentas como o AdminNeo são projetadas para interagir diretamente com os motores de armazenamento de back-end, um invasor que compromete o utilitário obtém efetivamente acesso de nível raiz (root) à camada de dados. Em ambientes corporativos, de hospedagem e de desenvolvimento, esses bancos de dados costumam armazenar registros confidenciais de clientes, livros contábeis financeiros, credenciais de sistema e propriedade intelectual sigilosa.

A fixação de sessão apresenta um perigo crítico porque contorna a complexidade padrão de senhas e proteções de autenticação multifator. Se um invasor puder forçar o navegador de um administrador a adotar um identificador de sessão conhecido antes da autenticação — seja por meio de manipulação de links, interceptação de rede ou manipulação local de cookies —, ele poderá herdar a sessão totalmente autenticada do administrador imediatamente após o login do usuário. Isso permite a personificação completa sem a necessidade de descobrir as credenciais subjacentes do banco de dados do alvo.

A falsificação de requisição entre sites amplifica esse risco operacional. Painéis administrativos são alvos cobiçados para ataques de CSRF porque os administradores rotineiramente deixam seus painéis de controle abertos em abas de navegador em segundo plano enquanto navegam pela web em geral. Se um administrador autenticado visitar uma página web comprometida ou maliciosa, scripts incorporados podem enviar comandos administrativos silenciosamente e de forma direta à interface do AdminNeo. Se a rotina verify_token falhar na validação rigorosa dos tokens, o aplicativo poderá executar operações graves, incluindo a criação de contas de banco de dados não autorizadas, a exfiltração de esquemas de tabelas ou a exclusão de bancos de dados de produção críticos para a missão. O raio de impacto de tais ataques vai além da inatividade do software, estendendo-se a passivos de conformidade com a proteção de dados, multas regulatórias e perda permanente de dados.

## The background

O AdminNeo é uma aplicação web de código aberto projetada como uma interface ágil e leve para gerenciamento de bancos de dados, desenvolvida como sucessora moderna e fork na linhagem do Adminer. O Adminer, desenvolvido originalmente pelo engenheiro de software tcheco Jakub Vrána sob o nome phpMinAdmin a partir de 2007, foi concebido como uma alternativa ao phpMyAdmin, que era pesado e historicamente propenso a vulnerabilidades. Ao contrário do phpMyAdmin, composto por milhares de arquivos individuais e cadeias de dependências complexas, Vrána foi pioneiro em uma arquitetura centrada no empacotamento de toda a ferramenta em um único script PHP. Essa decisão arquitetônica tornou o Adminer excepcionalmente popular entre administradores de sistemas, provedores de hospedagem web e desenvolvedores freelancers em busca de implementação rápida em servidores remotos, sem a exigência de procedimentos complexos de instalação de pacotes.

No entanto, a abordagem minimalista de arquivo único ou de pegada reduzida apresenta desafios distintos de manutenção de segurança. Funções essenciais — incluindo tratamento de sessão, criação de tokens, renderização de consultas e abstração de drivers — são frequentemente consolidadas em scripts auxiliares compartilhados, como functions.inc.php. Ao longo das últimas duas décadas, utilitários de gerenciamento web enfrentaram repetidamente vulnerabilidades relacionadas a contorno de autenticação, cross-site scripting (XSS), falsificação de requisição do lado do servidor (SSRF) e CSRF.

O próprio Adminer passou por divulgações de segurança de grande repercussão em anos anteriores, incluindo o CVE-2021-43008, que envolvia a divulgação arbitrária de arquivos, além de problemas anteriores em que configurações padrão expunham bancos de dados locais a conexões remotas. O fork e o desenvolvimento contínuo sob projetos como o AdminNeo buscaram manter o espírito leve do software, ao mesmo tempo em que modernizavam a compatibilidade com versões mais recentes do PHP e padrões web em evolução. Apesar dessas modernizações, a lógica fundamental de aplicações web — particularmente a preservação de estado e a comparação criptográfica de tokens — permanece sujeita a erros sutis de projeto caso os desenvolvedores dependam de padrões legados de verificação em vez de primitivas reforçadas de frameworks modernos.

## Reaction

No momento da divulgação, respostas públicas formais dos mantenedores do software não haviam sido publicadas nos principais canais de distribuição. As divulgações surgiram por meio de feeds de agregação de vulnerabilidades, sem declarações à imprensa complementares ou notas de alerta simultâneas nos principais repositórios colaborativos de código.

Mantenedores de segurança e colaboradores da comunidade de ferramentas de banco de dados de código aberto geralmente lidam com tais relatórios emitindo pull requests, elaborando lançamentos de correções e publicando alertas de segurança em plataformas como o GitHub. Mantenedores de sistemas downstream — como curadores de pacotes de distribuições Linux, mantenedores de contêineres Docker e desenvolvedores de painéis de controle web — ainda não emitiram alertas sincronizados. Como ferramentas de banco de dados são frequentemente implantadas como scripts autônomos ad-hoc em vez de por meio de gerenciadores de pacotes centralizados, especialistas em segurança esperam que a remediação downstream dependa fortemente de campanhas manuais de conscientização e atualizações administrativas auto-hospedadas, em vez de correções automatizadas em larga escala.

## What we don't know yet

Diversos detalhes técnicos permanecem não confirmados na documentação inicial da vulnerabilidade. O relatório do VulDB não fornece as strings completas do vetor do Common Vulnerability Scoring System (CVSS) nem pontuações-base finalizadas para o CVE-2026-96631 ou o CVE-2026-96629, deixando pendente a classificação formal padronizada de gravidade. Além disso, os registros não indicam se a exploração ativa foi observada em ambientes de produção ou se códigos de prova de conceito funcionais estiveram circulando entre agentes de ameaças.

Também não está claro se uma atualização oficial upstream, como o lançamento de uma versão 5.5.1, foi finalizada para remediar ambos os problemas simultaneamente. Os pré-requisitos exatos de ataque também necessitam de esclarecimento: especificamente, se o defeito de CSRF em verify_token decorre de uma falha total na validação de tokens, de um algoritmo de comparação inadequado suscetível a ataques de temporização ou da aceitação de tokens vazios ou com formatação incorreta. As respostas a essas perguntas determinarão a facilidade com que um invasor externo poderá orquestrar ataques automatizados contra implementações visadas.

## What to watch

Administradores e organizações que executam instalações do AdminNeo devem monitorar vários marcos importantes nos próximos dias. O indicador principal será a publicação de notas formais de correção ou o lançamento de uma versão superior à 5.5.0 no repositório oficial de código-fonte do projeto, o que fornecerá comparações de código (diffs) esclarecendo as correções exatas em functions.inc.php.

Na ausência de uma atualização oficial imediata, equipes de segurança devem verificar se mitigações defensivas são viáveis nos níveis de servidor web e perímetro de rede. Controles pertinentes incluem restringir o acesso de rede a portais administrativos por meio de redes privadas virtuais (VPNs) internas ou listas de permissão de IP, impedindo que o painel fique exposto à internet aberta. Administradores também devem configurar atributos explícitos de cookie SameSite (como SameSite=Strict) nos cabeçalhos de sessão do servidor web para atenuar falsificações de requisições entre sites, assegurando ao mesmo tempo que a regeneração de sessão seja imposta no nível de tempo de execução do PHP. Por fim, acompanhar o National Vulnerability Database (NVD) para pontuações formais de gravidade CVSS e análises técnicas fornecerá referências definitivas para a priorização de patches nas organizações.

A apuração desta matéria baseou-se em divulgações de vulnerabilidades de segurança publicadas pelo VulDB.