CVE-2025-12765

W pgAdmin 4 File Manager występuje podatność na atak typu traversal ścieżki z wykorzystaniem dowiązań symbolicznych. Użytkownik z autoryzacją może stworzyć dowiązanie symboliczne w swoim katalogu, które wskazuje na zewnętrzny zasób, co pozwala na zapis danych w dowolnej lokalizacji dostępnej dla procesu pgAdmin.

W pgAdmin 4 FileBackedSessionManager występuje podatność na deserializację niezaufanych danych, co może prowadzić do zdalnego wykonania kodu na poziomie systemu operacyjnego. Problem ten wynika z braku odpowiednich kontroli integralności przed deserializacją zawartości plików sesji.

W pgAdmin 4 przed wersją 9.15 występuje podatność na wstrzykiwanie poleceń systemowych (CWE-78) w funkcji importu/eksportu zapytań. Użytkownik uwierzytelniony może wstrzyknąć złośliwe polecenia, co prowadzi do wykonania dowolnych komend na serwerze pgAdmin lub zapisu plików w dowolnej lokalizacji.

Podatność typu SQL injection w narzędziu pgAdmin 4 Maintenance Tool pozwala uwierzytelnionemu użytkownikowi z uprawnieniami tools_maintenance na wykonanie dowolnych poleceń SQL na serwerze PostgreSQL. Wykorzystanie tej luki może prowadzić do eskalacji uprawnień i wykonania poleceń systemowych na hoście bazy danych.

W pgAdmin 4 źródło uwierzytelniania 'webserver' miało podatność polegającą na tym, że funkcja WebserverAuthentication.get_user() w przypadku braku wartości w środowisku WSGI/CGI odczytywała nazwę użytkownika bezpośrednio z nagłówków HTTP przesyłanych przez klienta. W efekcie każdy klient mogący połączyć się z pgAdmin mógł podać własny nagłówek i zalogować się jako dowolny użytkownik, w tym istniejący Administrator, bez hasła. Problem dotyczy wersji od 6.2 do 9.18 i występuje tylko gdy w AUTHENTICATION_SOURCES włączone jest 'webserver'.

Podatność w pgAdmin 4 umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie polecenia do narzędzia Import/Export Data. Funkcja walidująca zapytania SQL błędnie interpretuje znaki backslasha w ciągach znaków, co pozwala na ominięcie zabezpieczeń i dodanie klauzuli TO PROGRAM do polecenia psql.

Podatność w pgAdmin 4 (wersje 9.13 do 9.16) pozwala na ominięcie zabezpieczenia CVE-2026-12045 poprzez wstrzyknięcie zapytania SQL do asystenta AI. Atakujący może umieścić złośliwy ładunek w obiekcie odczytywanym przez asystenta, co prowadzi do wykonania wielu instrukcji SQL, w tym zapisu lub zdalnego wykonania kodu.

W funkcji adhoc_connect_server w pgAdmin 4 9.0-9.16, podczas klonowania serwera przez niebędącego właścicielem użytkownika, kopiowane są wszystkie kolumny, w tym dane uwierzytelniające (hasła) oraz flagi własności. Pozwala to atakującemu na przejęcie sklonowanego serwera i korzystanie z haseł bazy danych należących do innego użytkownika (np. administratora).

W pgAdmin 4 w wersjach od 6.0 do 9.15 wykryto podatność na trwałe ataki XSS. Tekst zwracany przez serwer PostgreSQL (np. nazwy obiektów w błędach czy pola EXPLAIN) był przekazywany bezpośrednio do html-react-parser, co pozwalało na wstrzyknięcie dowolnego HTML, w tym ramek iframe. Atakujący może kontrolować serwer lub stworzyć obiekt o złośliwej nazwie, co prowadzi do przejęcia sesji użytkownika pgAdmin.

W pgAdmin 4 w wersjach od 6.9 do 9.15 brakuje dekoratora uwierzytelniania na dwóch endpointach SQL Editor, co pozwala nieuwierzytelnionym atakującym na wywołanie deserializacji pickle z sesji serwera. Luka wymaga jednak dodatkowych warunków (znajomość SECRET_KEY i dostęp do katalogu sesji), aby doprowadzić do zdalnego wykonania kodu.