CVE-2026-116250

W trybie serwera pgAdmin 4 sprawdza ścieżkę podaną przez użytkownika do pliku w jego katalogu przechowywania za pomocą metody check_access_permission(), a następnie otwiera ją według nazwy. Kilka miejsc otworzyło go za pomocą zwykłego polecenia open() lub przekazało ścieżkę do narzędzia, które otworzyło je później: eksport i import Server.json oraz lista plików importu, a także pliki przekazane do pg_dump, pg_dumpall, pg_restore i psql przez kopie zapasowe, przywracanie i importowanie/eksportowanie danych. Dowiązanie symboliczne zamienione w pliku lub w dowolnym katalogu nadrzędnym pomiędzy sprawdzeniem a otwarciem przekierowało operację poza katalog przechowywania, więc plik mógł zostać zapisany, nadpisany, odczytany lub załadowany do tabeli jako konto systemu operacyjnego z uruchomionym pgAdmin. Twardy link do pliku zewnętrznego, którego O_NOFOLLOW nie wykrywa, oraz FIFO, które może zawiesić żądanie, miało ten sam efekt. CVE-2026-86861 naprawiło ten błąd w przypadku pliku save_file Menedżera plików; to były pozostałe ścieżki.

Eksploatacja wymaga utworzenia takiego łącza lub FIFO w katalogu pamięci użytkownika. pgAdmin nie oferuje takiej możliwości, a katalogi pamięci masowej poszczególnych użytkowników należą do konta pgAdmin, więc wymaga to dostępu do zapisu do zaplecza pamięci masowej jako inny użytkownik systemu operacyjnego, na przykład współdzielonego lub zamontowanego w sieci katalogu pamięci, i wygrania wyścigu.

Poprawka otwiera każdy plik, schodząc z katalogu przechowywania po jednym komponencie na raz za pomocą O_NOFOLLOW, akceptując tylko zwykły plik z jednym łączem i przekazuje narzędziom otwarty deskryptor (/dev/fd/N) w systemie Linux. Komunikaty o błędach nie zawierają już ścieżki serwera.

Ten problem dotyczy pgAdmin 4: przed wersją 9.19.