Średni Odebrany

CVE-2026-86861

opublikowano: 17.09.2026, 18:18

modyfikacja: 17.09.2026, 22:18

Ocena CVSS

6.0

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Punkt końcowy save_file Menedżera plików pgAdmina 4, który obsługuje zapisywanie z Narzędzia do wysyłania zapytań i ERD, sprawdził żądaną ścieżkę za pomocą Filemanager.check_access_permission(), a następnie otworzył plik do zapisu zwykłym wywołaniem open(). CVE-2026-7819 wcześniej zaostrzył oddzielną ścieżkę przesyłania plików, otwierając swój cel za pomocą O_NOFOLLOW, tak że jądro odmawia podążania za dowiązaniem symbolicznym w ostatnim komponencie ścieżki, ale plik save_file pozostał w niezabezpieczonej funkcji open(). Dowiązanie symboliczne obecne już w momencie przeprowadzania kontroli zostało odrzucone przez samą kontrolę; pozostałą ekspozycję stanowiło łącze podstawione w ostatnim elemencie ścieżki w przerwie między sprawdzeniem a zapisem, w którym to momencie zapis podążał za łączem i wylądował poza katalogiem pamięci użytkownika, tworząc lub nadpisując dowolny plik jako konto systemu operacyjnego z uruchomionym pgAdmin.

Eksploatacja wymaga możliwości utworzenia lub zastąpienia dowiązania symbolicznego w katalogu pamięci żądającego użytkownika. pgAdmin nie udostępnia żadnego interfejsu tworzącego dowiązania symboliczne, więc wymaga to dostępu do systemu plików do hosta pgAdmin lub do współdzielonego lub podłączonego do sieci zaplecza pamięci masowej, a także wygrania okna czasowego. Reporterowi nie udało się napisać nic przeciwko opublikowanej wersji, po bezskutecznych próbach przesłania około 63 000 żądań wyścigów; zgłoszoną wadą jest odkryta ścieżka zapisu, a nie zademonstrowana ucieczka z piaskownicy.

Poprawka kieruje zapis pliku save_file przez ten sam pomocnik chroniony O_NOFOLLOW, który jest już używany w ścieżce przesyłania, więc oba ujścia zapisu Menedżera plików zapewniają identyczną ochronę wymuszoną przez jądro i jawnie zgłaszają odmowę dowiązania symbolicznego zamiast ukazywać podstawowy tekst błędu systemowego. Zauważ, że pliki utworzone przez save_file mają teraz tryb 0600, dziedzicząc zachowanie wprowadzone w przypadku przesyłania. Ochrona obejmuje końcowy element ścieżki; Ta zmiana nie uwzględnia zastępowania pośredniego komponentu katalogu.

Ten problem dotyczy pgAdmin 4: od wprowadzenia kontroli szczelności w ścieżce zapisu Menedżera plików przed wersją 9.18.

pgAdmin 4's File Manager save_file endpoint, which backs saving from the Query Tool and ERD, validated the requested path with Filemanager.check_access_permission() and then opened the file for writing with a plain open() call. CVE-2026-7819 had previously hardened the separate file upload path by opening its target with O_NOFOLLOW, so that the kernel refuses to follow a symbolic link at the final path component, but save_file was left on an unprotected open(). A symbolic link already present when the check ran was rejected by the check itself; the remaining exposure was a link substituted at the final path component in the interval between the check and the write, at which point the write followed the link and landed outside the user's storage directory, creating or overwriting an arbitrary file as the operating-system account running pgAdmin.

Exploitation requires the ability to create or replace a symbolic link inside the requesting user's storage directory. pgAdmin exposes no interface that creates symbolic links, so this requires filesystem access to the pgAdmin host or to a shared or network-mounted storage backend, together with winning the timing window. The reporter did not achieve a write against a released version, having attempted approximately 63,000 racing requests without success; the reported defect is the uncovered write path rather than a demonstrated sandbox escape.

The fix routes save_file's write through the same O_NOFOLLOW-protected helper already used by the upload path, so both File Manager write sinks carry identical kernel-enforced protection, and reports a symbolic-link refusal explicitly instead of surfacing the underlying system error text. Note that files created by save_file are now given mode 0600, inheriting the behaviour introduced for uploads. The protection covers the final path component; substitution of an intermediate directory component is not addressed by this change.

This issue affects pgAdmin 4: from the introduction of the containment check in the File Manager save path before 9.18.

>_ Słabości (CWE)

CWE-59 CWE-367

>_ Referencje

https://github.com/pgadmin-org/pgadmin4/issues/10385

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve