CVE-2026-86862

Narzędzia do przywracania i konserwacji pgAdmin 4 przekazały dostarczone przez klienta pole „baza danych” bezpośrednio jako wartość opcji --dbname podanej do pg_restore i psql. Libpq rozszerza nazwę bazy danych zawierającą znak równości do pełnego ciągu połączenia, a słowa kluczowe połączenia osadzone w tej wartości mają pierwszeństwo przed argumentami --host i --port dostarczanymi przez pgAdmin. Wartość taka jak „host=atak.przykładowy port=5432 nazwa_bazy_danych=x” przekierowywała zatem narzędzie do serwera wybranego przez żądającego użytkownika, a nie do serwera, przeciwko któremu wywołano operację. Ponieważ pgAdmin eksportuje odszyfrowane przechowywane hasło bazy danych do zmiennej środowiskowej PGPASSWORD przed uruchomieniem narzędzia, przekierowane połączenie przedstawia te dane uwierzytelniające punktowi końcowemu wyznaczonemu przez osobę atakującą, który może je przechwycić. Przekierowanie dodatkowo umożliwia połączenia wychodzące z hosta pgAdmin do dowolnych adresów sieciowych, w tym do hostów, które w inny sposób nie byłyby dostępne dla żądającego użytkownika.

To zachowanie jest dostępne dla każdego uwierzytelnionego użytkownika posiadającego uprawnienia Tools_restore lub Tools_maintenance, które są nadawane przez domyślną rolę Użytkownika. W najwcześniejszych wersjach nie miało to wpływu na narzędzie konserwacji, w którym wartość była owijana przez pomocnika cytowania, który przypadkowo uniemożliwiał rozwijanie; zostało to naruszone, gdy usunięto to opakowanie.

Poprawka dostarcza docelową bazę danych w zmiennej środowiskowej PGDATABASE, która libpq traktuje jako dosłowną nazwę bazy danych i nigdy nie jest rozwijana jako ciąg połączenia. Tam, gdzie pg_restore wymaga obecności argumentu --dbname, przekazywana jest pusta wartość, która nie zawiera znaku równości i dlatego nie jest rozwijana, podczas gdy prawdziwa nazwa jest pobierana ze środowiska.

Ten problem dotyczy pgAdmin 4: od wprowadzenia argumentu --dbname w narzędziach przywracania i konserwacji przed wersją 9.18.