CVE-2026-7819
WysokieStreszczenie
W pgAdmin 4 File Manager występuje podatność na atak typu traversal ścieżki z wykorzystaniem dowiązań symbolicznych. Użytkownik z autoryzacją może stworzyć dowiązanie symboliczne w swoim katalogu, które wskazuje na zewnętrzny zasób, co pozwala na zapis danych w dowolnej lokalizacji dostępnej dla procesu pgAdmin.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do systemu plików, co stwarza ryzyko utraty danych lub ich modyfikacji przez złośliwych użytkowników.
Rekomendacja
Zaleca się aktualizację pgAdmin 4 do wersji 9.15 lub nowszej, aby załatać tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień dostępu do katalogów użytkowników.
Inne podatności w pgAdmin 4
Zobacz wszystkie- CVE-2026-7818Wysokie
W pgAdmin 4 FileBackedSessionManager występuje podatność na deserializację niezaufanych danych, co może prowadzić do zdalnego wykonania kodu na poziomie systemu operacyjnego. Problem ten wynika z braku odpowiednich kontroli integralności przed deserializacją zawartości plików sesji.
- CVE-2026-7816Wysokie
W pgAdmin 4 przed wersją 9.15 występuje podatność na wstrzykiwanie poleceń systemowych (CWE-78) w funkcji importu/eksportu zapytań. Użytkownik uwierzytelniony może wstrzyknąć złośliwe polecenia, co prowadzi do wykonania dowolnych komend na serwerze pgAdmin lub zapisu plików w dowolnej lokalizacji.
- CVE-2026-7815Wysokie
Podatność typu SQL injection w narzędziu pgAdmin 4 Maintenance Tool pozwala uwierzytelnionemu użytkownikowi z uprawnieniami tools_maintenance na wykonanie dowolnych poleceń SQL na serwerze PostgreSQL. Wykorzystanie tej luki może prowadzić do eskalacji uprawnień i wykonania poleceń systemowych na hoście bazy danych.
- CVE-2026-17566Krytyczne
Podatność w pgAdmin 4 umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie polecenia do narzędzia Import/Export Data. Funkcja walidująca zapytania SQL błędnie interpretuje znaki backslasha w ciągach znaków, co pozwala na ominięcie zabezpieczeń i dodanie klauzuli TO PROGRAM do polecenia psql.
- CVE-2026-17351Krytyczne
Podatność w pgAdmin 4 (wersje 9.13 do 9.16) pozwala na ominięcie zabezpieczenia CVE-2026-12045 poprzez wstrzyknięcie zapytania SQL do asystenta AI. Atakujący może umieścić złośliwy ładunek w obiekcie odczytywanym przez asystenta, co prowadzi do wykonania wielu instrukcji SQL, w tym zapisu lub zdalnego wykonania kodu.
- CVE-2026-17349Krytyczne
W funkcji adhoc_connect_server w pgAdmin 4 9.0-9.16, podczas klonowania serwera przez niebędącego właścicielem użytkownika, kopiowane są wszystkie kolumny, w tym dane uwierzytelniające (hasła) oraz flagi własności. Pozwala to atakującemu na przejęcie sklonowanego serwera i korzystanie z haseł bazy danych należących do innego użytkownika (np. administratora).
- CVE-2026-12048Krytyczne
W pgAdmin 4 w wersjach od 6.0 do 9.15 wykryto podatność na trwałe ataki XSS. Tekst zwracany przez serwer PostgreSQL (np. nazwy obiektów w błędach czy pola EXPLAIN) był przekazywany bezpośrednio do html-react-parser, co pozwalało na wstrzyknięcie dowolnego HTML, w tym ramek iframe. Atakujący może kontrolować serwer lub stworzyć obiekt o złośliwej nazwie, co prowadzi do przejęcia sesji użytkownika pgAdmin.
- CVE-2026-12046Krytyczne
W pgAdmin 4 w wersjach od 6.9 do 9.15 brakuje dekoratora uwierzytelniania na dwóch endpointach SQL Editor, co pozwala nieuwierzytelnionym atakującym na wywołanie deserializacji pickle z sesji serwera. Luka wymaga jednak dodatkowych warunków (znajomość SECRET_KEY i dostęp do katalogu sesji), aby doprowadzić do zdalnego wykonania kodu.
- CVE-2026-12045Krytyczne
Podatność w asystencie AI pgAdmin 4 umożliwia atakującemu, który może wpływać na treść odczytywaną przez asystenta, wykonanie dowolnego SQL z uprawnieniami roli użytkownika pgAdmin. Luka wynika z braku walidacji zapytań generowanych przez LLM, co pozwala na ominięcie trybu tylko do odczytu poprzez wstrzyknięcie poleceń takich jak COMMIT czy ROLLBACK.
- CVE-2026-7813Krytyczne
Podatność autoryzacji w trybie serwera pgAdmin 4 umożliwia dostęp do prywatnych obiektów innych użytkowników bez odpowiedniego filtrowania. Użytkownik uwierzytelniony może uzyskać dostęp do prywatnych serwerów, grup serwerów oraz procesów w tle innych użytkowników poprzez odgadnięcie identyfikatorów obiektów.
Oryginalny opis (angielski, źródło NVD)
Symbolic-link path traversal (CWE-61, CWE-22) in pgAdmin 4 File Manager. check_access_permission used os.path.abspath, which resolves '..' but does not resolve symbolic links, while the subsequent kernel write follows symlinks. An authenticated user could plant a symbolic link inside their own storage directory pointing outside it and induce pgAdmin to write to any path reachable by the pgAdmin process. Fix switches the access check to os.path.realpath for both source and destination, and adds an _open_upload_target helper that opens the target with O_NOFOLLOW (mode 0o600) to close the leaf-component TOCTOU between the access check and the open. File mode is hardened from 0o644 to 0o600. This issue affects pgAdmin 4: before 9.15.