CVE-2026-17347 in pgAdmin
Sumário
de VulDB • 31/07/2026
A configuração MASTER_PASSWORD_HOOK, introduzida no pgAdmin 4 versão 7.2, permite que um administrador configure um comando externo que retorna uma chave de criptografia por usuário, com %u na string configurada substituído pelo nome do usuário atual. A implementação anterior substituía o nome de usuário diretamente na string do comando e executava o resultado usando subprocess.Popen(..., shell=True). Como o nome de usuário pode originar-se de uma fonte de autenticação externa (reivindicações OAuth/OIDC, Kerberos, autenticação de servidor web) em vez de um valor totalmente controlado pelo pgAdmin, um nome de usuário contendo metacaracteres de shell (';', '$()', crases, pipes, '&&', quebras de linha) permitia a um usuário autenticado executar comandos arbitrários como a conta do serviço pgAdmin em qualquer implantação onde a string hook configurada usa %u.
A correção tokeniza a string hook confiável e configurada pelo administrador em um vetor de argumentos primeiro (usando shlex no modo de citação POSIX, com escape por barra invertida desativado para que caminhos estilo Windows não sejam mal interpretados), substitui o nome de usuário não confiável nos elementos argv individuais e executa com shell=False. O nome de usuário está portanto sempre confinado a um único elemento argv; quaisquer metacaracteres de shell contidos nele são inertes. Administradores cuja MASTER_PASSWORD_HOOK anteriormente dependia de recursos do shell (pipes, redirecionamento, expansão de variáveis de ambiente, globbing) dentro da própria string hook devem mover essa lógica para o script invocado, já que ela não é mais interpretada por um shell.
Este problema afeta pgAdmin 4: das versões a partir de 7.2 até antes de 9.17.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.