CVE-2026-7816 in pgAdmin 4
Zusammenfassung
von VulDB • 14.05.2026
Eine OS-Befehlsinjektionslücke (CWE-78) in der pgAdmin 4-Funktion zum Export von Abfragen im Bereich Import/Export.
Vom Benutzer bereitgestellte Eingaben wurden ohne vorherige Bereinigung direkt in eine Vorlage für das psql-\copy-Metakommando eingefügt. Ein authentifizierter Benutzer könnte ") TO PROGRAM 'cmd'" injizieren, um aus dem \copy(...)-Kontext auszubrechen und eine beliebige Befehlsausführung auf dem pgAdmin-Server zu erreichen, oder ") TO '/path'" für einen beliebigen Dateischreibzugriff. Zusätzliche Felder (format, on_error, log_verbosity) wurden ebenfalls roh eingefügt und sind ausnutzbar.
Die Korrektur fügt einen auf dem strtokx-Tokenisierer von psql modellierten Klammer-Ausgleichsparser hinzu, führt eine Allow-Liste für format/on_error/log_verbosity ein, lehnt Null-Bytes in der Abfrage ab und verschärft die Typ- und Zugriffsprüfungen.
Dieses Problem betrifft pgAdmin 4: vor Version 9.15.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.