中 7.1

pgAdmin 4にマテリアライズドビュー更新で接続先を乗っ取られる脆弱性

CVE-2026-116252 SecPulse初出 4:55

概要

pgAdmin 4のマテリアライズドビュー更新機能に、データベース名を細工すると接続先を外部に向けられる脆弱性が見つかりました。CREATEDB権限を持つユーザーが作成したデータベース名によって、利用者の保存済みサーバーパスワードが攻撃者の用意した接続先に送られるおそれがあります。9.19より前の版が対象で、9.19で修正されています。早めに9.19以降へ更新してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
pgadmin.org	pgAdmin 4	9.19 未満	9.19

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

pgAdmin 4's materialized view refresh passed the target database's name to psql's --dbname argument unchanged. libpq treats a --dbname value containing "=" (or a postgresql:// URI) as a full connection string, whose keywords override the host, port and other settings pgAdmin had supplied. A database whose name is such a string, which any role with CREATEDB can create, therefore redirected the psql process pgAdmin starts for the refresh to a host and port of the creator's choosing, and the connecting user's saved server password was presented to that endpoint. It also let the pgAdmin host be made to open connections to arbitrary addresses.

The same weakness was fixed for Backup, Restore, Maintenance and Import/Export Data in earlier releases (CVE-2026-86862); the materialized view refresh was the remaining caller. The fix routes the name through the same database_conninfo() helper, so libpq treats it strictly as a database name.

This issue affects pgAdmin 4: before 9.19.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory