何が起きたか
AdminNeo の ?script=version エンドポイントは、送信元の検証も CSRF トークンの確認も行わずに POST された版番号をサーバー共有のキャッシュファイルに保存します。攻撃者が version[] として配列を送ると、次のページ読み込み時に rawurlencode() が TypeError を起こし、キャッシュが有効な24時間、すべての利用者に HTTP 500 が返ります。
やること
adminneo-org/adminneo を 5.5.0 以降に更新します。すぐ更新できない場合は、一時ディレクトリ（通常は upload_tmp_dir）にある adminneo.version ファイルを Web サーバーから書き込めないようにします。
出典
GitHub Advisory Database（GHSA-jm85-8cpp-9cjc）github.com英語 ↗AdminNeo のセキュリティ勧告github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。