CVE-2026-17347
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W pgAdmin 4 od wersji 7.2 do 9.17, ustawienie MASTER_PASSWORD_HOOK pozwalało na wstrzyknięcie poleceń powłoki przez nazwę użytkownika zawierającą znaki specjalne (np. ';', '$()', backticks). Nazwa użytkownika pochodząca z zewnętrznych źródeł autoryzacji (OAuth, Kerberos) mogła być wykorzystana do wykonania dowolnych poleceń jako konto usługi pgAdmin.
Ocena ryzyka
Uwierzytelniony użytkownik może przejąć kontrolę nad serwerem pgAdmin, wykonując dowolne polecenia w kontekście konta usługi, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Niezwłocznie zaktualizuj pgAdmin 4 do wersji 9.17 lub nowszej. Jeśli używasz MASTER_PASSWORD_HOOK, przenieś logikę powłoki (potoki, przekierowania) do skryptu wywoływanego przez hak.
Inne podatności w pgAdmin 4
Zobacz wszystkie- CVE-2026-116241Krytyczne
pgAdmin 4 przed wersją 9.19 zawiera obejście poprawki CVE-2026-17566 w narzędziu Import/Export Data. Nieprawidłowa walidacja ukośnika w podwójnie cytowanym identyfikatorze pozwala ukryć nawias zamykający i wykonać klauzulę TO PROGRAM przez psql na hoście pgAdmin z uprawnieniami konta systemowego.
- CVE-2026-86863Krytyczne
W pgAdmin 4 źródło uwierzytelniania 'webserver' miało podatność polegającą na tym, że funkcja WebserverAuthentication.get_user() w przypadku braku wartości w środowisku WSGI/CGI odczytywała nazwę użytkownika bezpośrednio z nagłówków HTTP przesyłanych przez klienta. W efekcie każdy klient mogący połączyć się z pgAdmin mógł podać własny nagłówek i zalogować się jako dowolny użytkownik, w tym istniejący Administrator, bez hasła. Problem dotyczy wersji od 6.2 do 9.18 i występuje tylko gdy w AUTHENTICATION_SOURCES włączone jest 'webserver'.
- CVE-2026-17566Krytyczne
Podatność w pgAdmin 4 umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie polecenia do narzędzia Import/Export Data. Funkcja walidująca zapytania SQL błędnie interpretuje znaki backslasha w ciągach znaków, co pozwala na ominięcie zabezpieczeń i dodanie klauzuli TO PROGRAM do polecenia psql.
- CVE-2026-17351Krytyczne
Podatność w pgAdmin 4 (wersje 9.13 do 9.16) pozwala na ominięcie zabezpieczenia CVE-2026-12045 poprzez wstrzyknięcie zapytania SQL do asystenta AI. Atakujący może umieścić złośliwy ładunek w obiekcie odczytywanym przez asystenta, co prowadzi do wykonania wielu instrukcji SQL, w tym zapisu lub zdalnego wykonania kodu.
- CVE-2026-17349Krytyczne
W funkcji adhoc_connect_server w pgAdmin 4 9.0-9.16, podczas klonowania serwera przez niebędącego właścicielem użytkownika, kopiowane są wszystkie kolumny, w tym dane uwierzytelniające (hasła) oraz flagi własności. Pozwala to atakującemu na przejęcie sklonowanego serwera i korzystanie z haseł bazy danych należących do innego użytkownika (np. administratora).
- CVE-2026-12048Krytyczne
W pgAdmin 4 w wersjach od 6.0 do 9.15 wykryto podatność na trwałe ataki XSS. Tekst zwracany przez serwer PostgreSQL (np. nazwy obiektów w błędach czy pola EXPLAIN) był przekazywany bezpośrednio do html-react-parser, co pozwalało na wstrzyknięcie dowolnego HTML, w tym ramek iframe. Atakujący może kontrolować serwer lub stworzyć obiekt o złośliwej nazwie, co prowadzi do przejęcia sesji użytkownika pgAdmin.
- CVE-2026-12046Krytyczne
W pgAdmin 4 w wersjach od 6.9 do 9.15 brakuje dekoratora uwierzytelniania na dwóch endpointach SQL Editor, co pozwala nieuwierzytelnionym atakującym na wywołanie deserializacji pickle z sesji serwera. Luka wymaga jednak dodatkowych warunków (znajomość SECRET_KEY i dostęp do katalogu sesji), aby doprowadzić do zdalnego wykonania kodu.
- CVE-2026-12045Krytyczne
Podatność w asystencie AI pgAdmin 4 umożliwia atakującemu, który może wpływać na treść odczytywaną przez asystenta, wykonanie dowolnego SQL z uprawnieniami roli użytkownika pgAdmin. Luka wynika z braku walidacji zapytań generowanych przez LLM, co pozwala na ominięcie trybu tylko do odczytu poprzez wstrzyknięcie poleceń takich jak COMMIT czy ROLLBACK.
- CVE-2026-7813Krytyczne
W trybie serwera pgAdmin 4 wiele punktów końcowych pobierało obiekty należące do użytkownika bez filtrowania po tożsamości żądającego, co pozwalało uwierzytelnionemu użytkownikowi na dostęp do prywatnych serwerów, grup serwerów, procesów w tle i argumentów debuggera innych użytkowników poprzez zgadywanie identyfikatorów. Funkcja Shared Servers miała dodatkowe problemy, w tym wyciek poświadczeń, eskalację uprawnień przez zapisywalne passexec_cmd umożliwiające wykonanie dowolnych poleceń oraz uszkodzenie danych właściciela.
- CVE-2025-13780Krytyczne
pgAdmin do wersji 9.10 jest podatny na zdalne wykonanie kodu (RCE) podczas pracy w trybie serwera i wykonywania przywracania z plików zrzutu w formacie PLAIN. Podatność pozwala atakującemu na wstrzyknięcie i wykonanie dowolnych poleceń na serwerze hostującym pgAdmin.
Oryginalny opis (angielski, źródło NVD)
The MASTER_PASSWORD_HOOK setting, introduced in pgAdmin 4 7.2, lets an administrator configure an external command that returns a per-user encryption key, with %u in the configured string replaced by the current user's name. The previous implementation substituted the username directly into the command string and executed the result with subprocess.Popen(..., shell=True). Because the username can originate from an external authentication source (OAuth/OIDC claims, Kerberos, webserver auth) rather than a value pgAdmin fully controls, a username containing shell metacharacters (';', '$()', backticks, pipes, '&&', newlines) allowed an authenticated user to execute arbitrary commands as the pgAdmin service account in any deployment where the configured hook string uses %u. Fix tokenises the trusted, administrator-configured hook string into an argument vector first (using shlex in POSIX-quoting mode, with backslash-escaping disabled so Windows-style paths are not mis-parsed), substitutes the untrusted username into the individual argv elements, and executes with shell=False. The username is therefore always confined to a single argv element; any shell metacharacters it contains are inert. Administrators whose MASTER_PASSWORD_HOOK previously relied on shell features (pipes, redirection, environment-variable expansion, globbing) within the hook string itself must move that logic into the invoked script, since it is no longer interpreted by a shell. This issue affects pgAdmin 4: from 7.2 before 9.17.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS