Уязвимости в AdminNeo подвергают сессии баз данных риску перехвата и подделки запросов

Исследователи в области кибербезопасности выявили две уязвимости в AdminNeo, инструменте управления базами данных с открытым исходным кодом, которые подвергают инсталляции риску перехвата сессий и несанкционированного выполнения команд. Согласно отчетам службы мониторинга уязвимостей VulDB, дефекты затрагивают версии AdminNeo вплоть до 5.5.0 включительно. Обе проблемы кроются в базовом вспомогательном коде ПО, отвечая за отслеживание состояния аутентификации и верификацию транзакций. Ошибки, зарегистрированные под официальными идентификаторами CVE-2026-96631 и CVE-2026-96629, подчеркивают повторяющиеся структурные проблемы веб-ориентированного административного ПО, работающего с привилегированными подключениями к базам данных.

## Ключевые факты

- Независимая база данных уязвимостей VulDB опубликовала записи о двух уязвимостях в AdminNeo 31 октября 2026 года. - Первая уязвимость, получившая идентификатор CVE-2026-96631, связана с фиксацией сессии (session fixation) при обработке файлов cookie в основном файле functions.inc.php. - Второй дефект, обозначенный как CVE-2026-96629, представляет собой уязвимость к межсайтовой подделке запросов (cross-site request forgery, CSRF) в функции verify_token в functions.inc.php. - Подтверждено, что обе уязвимости затрагивают релизы ПО вплоть до версии 5.5.0. - Данное приложение служит веб-интерфейсом управления реляционными базами данных, включая MySQL, PostgreSQL, SQLite и MariaDB.

## Что произошло

Данные публичного раскрытия, внесенные в каталог VulDB, указывают на то, что исследователи безопасности проанализировали внутренние механизмы валидации сессий в AdminNeo и обнаружили две независимые ошибки реализации в основном файле функций functions.inc.php.

Первая задокументированная проблема, зарегистрированная как CVE-2026-96631, связана с некорректным управлением состоянием сессии через cookie браузера. В стандартных архитектурах веб-безопасности приложение должно повторно генерировать идентификатор сессии при любом изменении уровня привилегий — что особенно важно при успешной аутентификации анонимного посетителя в качестве администратора. Если приложение не аннулирует или не перевыпускает токены сессий при изменении статуса аутентификации, возникает состояние, известное как фиксация сессии. В AdminNeo процедуры обработки cookie в functions.inc.php позволяют идентификаторам сессий сохраняться, что дает постороннему лицу возможность заранее предопределить или удерживать контроль над активным идентификатором сессии после входа легитимного пользователя.

Вторая проблема, зарегистрированная как CVE-2026-96629, напрямую нарушает подлинность транзакций в интерфейсе инструмента. Ошибка была обнаружена в компоненте verify_token файла functions.inc.php — функции, отвечающей за валидацию токенов защиты от межсайтовой подделки запросов (CSRF). Защита от CSRF основана на генерации непредсказуемых, привязанных к пользователю токенов, сопровождающих административные запросы, изменяющие состояние (такие как смена конфигурации, выполнение запросов к базе данных или удаление таблиц). Уязвимости в механизме проверки токенов позволяют запросам, сформированным сторонними лицами, обходить проверку, заставляя приложение выполнять произвольные команды от имени аутентифицированного оператора.

По информации VulDB, в обоих отчетах уязвимая логика зафиксирована в версиях ПО вплоть до 5.5.0. Хотя точная методология обнаружения уязвимостей не была детализирована в кратких первичных предупреждениях, указание конкретных имен функций указывает на анализ исходного кода или целевой фаззинг ключевых конвейеров обработки запросов приложения.

## Почему это важно

Веб-утилиты для управления базами данных занимают исключительно чувствительное положение в современной инфраструктуре приложений. Поскольку такие инструменты, как AdminNeo, предназначены для прямого взаимодействия с серверными механизмами хранения данных, злоумышленник, скомпрометировавший инструмент, фактически получает root-доступ к уровню данных. В корпоративных средах, на хостингах и в средах разработки в этих базах данных часто хранятся конфиденциальные записи клиентов, финансовые реестры, системные учетные данные и конфиденциальная интеллектуальная собственность.

Фиксация сессии представляет критическую опасность, поскольку позволяет обойти стандартные требования к сложности паролей и многофакторную защиту. Если злоумышленник сможет заставить браузер администратора принять заранее известный идентификатор сессии до аутентификации — будь то с помощью манипуляций со ссылками, перехвата сетевого трафика или локальных манипуляций с cookie, — он сможет перехватить полностью аутентифицированную сессию сразу после входа пользователя. Это дает возможность полной имитации пользователя без необходимости выяснять исходные учетные данные от базы данных.

Межсайтовая подделка запросов многократно усиливает этот операционный риск. Административные панели являются привлекательными целями для CSRF-атак, поскольку администраторы регулярно оставляют панели управления открытыми в фоновых вкладках браузера во время веб-серфинга. Если аутентифицированный администратор посещает скомпрометированную или вредоносную веб-страницу, встроенные скрипты могут незаметно отправлять административные команды непосредственно в интерфейс AdminNeo. Если функция verify_token не обеспечивает строгой валидации токенов, приложение может выполнить опасные операции, включая создание несанкционированных учетных записей баз данных, эксфильтрацию схем таблиц или удаление критически важных продуктовых баз данных. Радиус поражения таких атак выходит за рамки простоя ПО, создавая риски нарушения нормативных требований по защите данных, регуляторных штрафов и безвозвратной потери данных.

## Контекст

AdminNeo — это веб-приложение с открытым исходным кодом, созданное как гибкий и легковесный интерфейс для управления базами данных и разработанное как современный преемник и форк в линейке Adminer. Adminer, изначально созданный чешским инженером-программистом Якубом Враной (Jakub Vrána) под названием phpMinAdmin начиная с 2007 года, задумывался как альтернатива тяжеловесному и исторически подверженному уязвимостям phpMyAdmin. В отличие от phpMyAdmin, состоящего из тысяч отдельных файлов и сложных цепочек зависимостей, Врана внедрил архитектуру, основанную на упаковке всего инструмента в единый PHP-скрипт. Это архитектурное решение сделало Adminer исключительно популярным среди системных администраторов, веб-хостеров и независимых разработчиков, которым требовалось быстрое развертывание на удаленных серверах без сложных процедур установки пакетов.

Однако минималистичный монолитный подход с небольшим объемом кода создает специфические трудности при поддержке безопасности. Ключевые функции — включая управление сессиями, генерацию токенов, рендеринг запросов и абстракцию драйверов — часто объединяются в общие вспомогательные скрипты, такие как functions.inc.php. За последние два десятилетия утилиты веб-управления неоднократно сталкивались с уязвимостями, связанными с обходом аутентификации, межсайтовым скриптингом (XSS), подделкой запросов на стороне сервера (SSRF) и CSRF.

Сам Adminer в прошлые годы сталкивался с резонансными раскрытиями уязвимостей, включая CVE-2021-43008, связанную с раскрытием произвольных файлов, а также с более ранними проблемами, когда конфигурации по умолчанию открывали локальные базы данных для удаленных подключений. Форк и дальнейшая разработка в рамках таких проектов, как AdminNeo, были направлены на сохранение принципов легковесности ПО при модернизации совместимости с новыми версиями PHP и развивающимися веб-стандартами. Несмотря на эту модернизацию, базовая логика веб-приложений — в частности, сохранение состояния и криптографическое сравнение токенов — остается уязвимой для скрытых проектных ошибок, если разработчики полагаются на устаревшие паттерны верификации вместо защищенных примитивов современных фреймворков.

## Реакция

На момент раскрытия информации официальных публичных ответов от разработчиков ПО по основным каналам распространения не поступало. Данные об уязвимостях появились в агрегаторах без сопроводительных заявлений для прессы или одновременных предупреждений в основных публичных репозиториях кода.

Специалисты по безопасности и участники сообщества разработчиков инструментов для баз данных с открытым исходным кодом обычно реагируют на подобные отчеты выпуском pull-реквестов, подготовкой патчей и публикацией бюллетеней безопасности на таких платформах, как GitHub. Мейнтейнеры зависимых систем (downstream) — такие как кураторы пакетов дистрибутивов Linux, создатели контейнеров Docker и разработчики веб-панелей управления — пока не выпустили синхронизированных предупреждений. Поскольку инструменты баз данных часто развертываются как автономные скрипты, а не через централизованные пакетные менеджеры, эксперты по безопасности ожидают, что устранение последствий будет в значительной степени зависеть от ручного информирования и самостоятельных обновлений администраторами, а не от автоматической централизованной установки исправлений.

## Что пока неизвестно

Ряд технических деталей в первоначальной документации об уязвимостях остается неподтвержденным. В отчетах VulDB не приводятся полные векторные строки Common Vulnerability Scoring System (CVSS) или окончательные базовые баллы для CVE-2026-96631 и CVE-2026-96629, из-за чего официальная стандартизированная оценка степени опасности остается открытой. Кроме того, в записях не указано, наблюдалась ли активная эксплуатация в рабочих средах и распространяется ли среди злоумышленников рабочий концептуальный код эксплойтов (PoC).

Также неясно, подготовлено ли официальное апстрим-обновление, такое как релиз версии 5.5.1, для одновременного устранения обеих проблем. Уточнения требуют и точные предпосылки для проведения атак: в частности, вызван ли дефект CSRF в функции verify_token полным отсутствием валидации токенов, некорректным алгоритмом сравнения, уязвимым для атак по времени (timing attacks), либо приемом пустых или некорректно отформатированных токенов. Ответы на эти вопросы определят, насколько легко внешний злоумышленник сможет организовать автоматизированные атаки на целевые инсталляции.

## За чем следить

Администраторам и организациям, использующим инсталляции AdminNeo, следует отслеживать несколько ключевых этапов в ближайшие дни. Главным индикатором станет публикация официальных описаний патчей (patch notes) или выпуск версии старше 5.5.0 в официальном репозитории исходного кода проекта, где диффы кода разъяснят конкретные исправления в functions.inc.php.

В отсутствие немедленного официального обновления специалистам по безопасности следует проверить возможность принятия защитных мер на уровне веб-сервера и сетевого периметра. К соответствующим мерам контроля относится ограничение сетевого доступа к административным порталам с помощью внутренних виртуальных частных сетей (VPN) или белых списков IP-адресов, что исключит доступность панели управления из открытого интернета. Администраторам также следует настроить явные атрибуты SameSite для файлов cookie (например, SameSite=Strict) в заголовках сессий веб-сервера для снижения рисков CSRF, обеспечив при этом принудительную регенерацию сессий на уровне среды выполнения PHP. Наконец, отслеживание Национальной базы данных уязвимостей США (National Vulnerability Database, NVD) на предмет официальных оценок серьезности CVSS и технического анализа предоставит четкие ориентиры для приоритизации установки патчей в организациях.

Материал подготовлен на основе отчетов о раскрытии уязвимостей безопасности, опубликованных VulDB.