pgAdmin - CVE-2026-116241

Il s’agit d’une vulnérabilité dans l’outil Import/Export Data de pgAdmin 4.

pgAdmin 4 est une plateforme libre d’administration et de développement pour les bases de données PostgreSQL. Elle fournit une interface graphique utilisable en application de bureau ou en application web.

L’export par requête encapsule la requête de l’utilisateur dans une commande. Une vérification de l’équilibre des parenthèses doit empêcher de sortir de cette enveloppe. Cette vérification rejette un antislash dans une chaîne entre apostrophes, mais pas dans un identifiant entre guillemets doubles. Elle y considère le guillemet suivant comme la fin de l’identifiant. Or, avec standard_conforming_strings désactivé, psql applique le caractère d’échappement à tout guillemet ouvrant. Un guillemet double échappé ne ferme donc pas l’identifiant pour psql. Les deux analyseurs divergent. Une parenthèse fermante cachée à la vérification termine l’enveloppe. Une clause TO PROGRAM qui la suit est alors exécutée par psql. L’exécution a lieu sur l’hôte pgAdmin, avec le compte du système d’exploitation qui fait tourner pgAdmin. Elle précède le rejet de l’instruction par le serveur PostgreSQL. Un rôle de base de données ordinaire peut désactiver ce paramètre pour lui-même. La permission Import/Export Data est accordée par défaut aux non-administrateurs. Il s’agit d’un contournement du correctif de CVE-2026-17566.

Elle permet à un utilisateur authentifié à faibles privilèges d’exécuter des commandes arbitraires à distance sur le serveur pgAdmin.