JVNDB-2026-017079

pgAdmin ProjectのpgAdmin 4におけるOS コマンドインジェクションの脆弱性

pgAdmin 4のインポート/エクスポートクエリのエクスポート機能におけるOSコマンドインジェクション（CWE-78）の脆弱性です。ユーザーが提供した入力が適切にサニタイズされず、psqlの\copyメタコマンドテンプレートに直接挿入されていました。認証されたユーザーは") TO PROGRAM 'cmd'"を注入して\copy (...)の文脈を逸脱し、pgAdminサーバー上で任意のコマンドを実行可能であり、また") TO '/path'"を使って任意のファイルを書き込むことも可能でした。さらに、追加のフィールド（format、on_error、log_verbosity）も同様に生のまま挿入されており、悪用が可能でした。修正では、psqlのstrtokxトークナイザーを基にした括弧バランス解析パーサを追加し、format/on_error/log_verbosityの許可リストを設け、クエリ内のヌルバイトを拒否し、型およびチェック機構を強化しています。この問題はpgAdmin 4のバージョン9.15未満に影響を及ぼします。

pgAdmin Project

• pgAdmin 4 9.4 以上 9.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : OS command injection in Import/Export query export (CVE-2026-7816)  Issue #9899  pgadmin-org/pgadmin4

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-7816

1. National Vulnerability Database (NVD) : CVE-2026-7816

• [2026年05月28日]
    掲載