pgAdmin 4にマテリアライズドビュー更新で接続先を乗っ取られる脆弱性
Summary
pgAdmin 4のマテリアライズドビュー更新機能に、データベース名を細工すると接続先を外部に向けられる脆弱性が見つかりました。CREATEDB権限を持つユーザーが作成したデータベース名によって、利用者の保存済みサーバーパスワードが攻撃者の用意した接続先に送られるおそれがあります。9.19より前の版が対象で、9.19で修正されています。早めに9.19以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
pgAdmin 4のマテリアライズドビュー更新機能に、データベース名を細工すると接続先を外部に向けられる脆弱性が見つかりました。CREATEDB権限を持つユーザーが作成したデータベース名によって、利用者の保存済みサーバーパスワードが攻撃者の用意した接続先に送られるおそれがあります。9.19より前の版が対象で、9.19で修正されています。早めに9.19以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| pgadmin.org | pgAdmin 4 |
< 9.19 |
9.19 |
Original description The description as published by the source.
pgAdmin 4's materialized view refresh passed the target database's name to psql's --dbname argument unchanged. libpq treats a --dbname value containing "=" (or a postgresql:// URI) as a full connection string, whose keywords override the host, port and other settings pgAdmin had supplied. A database whose name is such a string, which any role with CREATEDB can create, therefore redirected the psql process pgAdmin starts for the refresh to a host and port of the creator's choosing, and the connecting user's saved server password was presented to that endpoint. It also let the pgAdmin host be made to open connections to arbitrary addresses.
The same weakness was fixed for Backup, Restore, Maintenance and Import/Export Data in earlier releases (CVE-2026-86862); the materialized view refresh was the remaining caller. The fix routes the name through the same database_conninfo() helper, so libpq treats it strictly as a database name.
This issue affects pgAdmin 4: before 9.19.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com