JVNDB-2026-017078

pgAdmin ProjectのpgAdmin 4における外部からアクセス可能なファイルまたはディレクトリに関する脆弱性

pgAdmin 4のLLM API設定エンドポイントにおけるローカルファイルインクルージョン（LFI）およびサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。ユーザーが提供するapi_key_fileおよびapi_urlの設定は検証なしにLLMプロバイダクライアントに渡されていました。認証されたユーザーは、api_key_fileをpgAdminプロセスで読み取り可能な任意のパスに指定することでサーバー側の任意のファイルを読み取ったり、api_urlを設定してchat pathおよびmodel-listエンドポイントを悪用し、クラウドメタデータサービス（例：169.254.169.254）などの内部ターゲットへリクエストを強制的に送信させることが可能でした。修正では、api_key_fileをユーザーのプライベートストレージ（サーバーモード）またはホームディレクトリ（デスクトップモード）に制限し、印刷可能なASCII文字列の形式と1024バイトの読み取り上限を設けました。また、api_urlは設定可能な許可リスト（config.ALLOWED_LLM_API_URLS）に基づき各エントリーポイントで検証されるようになっています。本脆弱性はpgAdmin 4のバージョン9.15より前に影響を及ぼします。

pgAdmin Project

• pgAdmin 4 9.13 以上 9.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Local file inclusion and SSRF in LLM API configuration endpoints (CVE-2026-7817)  Issue #9900  pgadmin-org/pgadmin4

1. 外部からアクセス可能なファイルまたはディレクトリ(CWE-552) [その他]

1. CVE-2026-7817

1. National Vulnerability Database (NVD) : CVE-2026-7817

• [2026年05月28日]
    掲載