JVNDB-2026-021619

pgAdmin ProjectのpgAdmin 4におけるSQL インジェクションの脆弱性

pgAdmin 4 の名前付きリストアポイントエンドポイント（POST /browser/server/restore_point/{gid}/{sid}）におけるSQLインジェクションの脆弱性について説明します。ユーザーから提供された 'value' フィールドがバインドパラメータとして渡されるのではなく、str.format() を用いて直接SQL文字列に挿入されていたため、認証済みのpgAdminユーザーが接続されたPostgreSQLセッションを介して追加のステートメントをこのエンドポイントを通じて注入できてしまいます。注入されたSQLはユーザーが既に認証済みのデータベースロールで実行されます。この欠陥は権限の境界を越えるものではなく、ユーザーは既にQuery Toolを通じて該当ロールに直接SQLアクセス権を持っているため、攻撃者はそのロールの権限の範囲を超えた機能を得ることはできません。この影響は限定的であり、インジェクション経路が公式のSQL実行インターフェースではないことにも起因します。そのため、アプリケーション層でQuery Toolを制限しているデプロイ環境では、予期せぬ経路でSQLが実行される可能性があります。修正内容としては、リストアポイント名をバインドパラメータとして渡し、関数呼び出しをpg_catalog.pg_create_restore_pointとしてスキーマ修飾し、非デフォルトのsearch_pathが接続上で呼び出しに影響しないようにしました。リグレッションテストでは、値がSQL文字列に直接埋め込まれるのではなくバインドパラメータとして正しく処理されることを確認しています。本問題はpgAdmin 4のバージョン1.0から9.16未満に影響します。

pgAdmin Project

• pgAdmin 4 1.0 以上 9.16 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-12050

1. National Vulnerability Database (NVD) : CVE-2026-12050
2. 関連文書 : SQL injection in named restore point endpoint (CVE-2026-12050)  Issue #10026  pgadmin-org/pgadmin4
3. 関連文書 : fix(server): parametrise named restore point query to prevent SQL inj…  pgadmin-org/pgadmin4@3379c39  GitHub

• [2026年06月30日]
    掲載