JVNDB-2026-021620

pgAdmin ProjectのpgAdmin 4におけるオープンリダイレクトの脆弱性

pgAdmin 4の多要素認証フローにおけるオープンリダイレクトの脆弱性について説明します。MFAの検証および登録エンドポイントは、ユーザーが指定した「next」クエリやフォームパラメータを、対象がpgAdmin内を指しているかどうかを確認せずに処理していました。そのため、認証済みの被害者がフィッシングによく使われる/mfa/validate?next=外部URLのようなリンクをクリックすると、信頼された認証フローから直接攻撃者が管理するホストにリダイレクトされてしまいます。この欠陥は信頼ドメインのリダイレクトに関するものであり、特権の回避ではありません。攻撃者はpgAdminや被害者のデータベースへの読み書きアクセス権を取得できませんが、このリダイレクトにより攻撃者の目的地がpgAdminのURLを経由して送られるため、被害者に対する資格情報フィッシングの成功率が高まります。修正では、same-originの_is_safe_redirect_urlヘルパーを導入し、ユーザー提供の「next」値を使用するすべてのMFAリダイレクトに対してこれを適用しました。このヘルパーは、相対パスおよびスキームがhttp(s)でホストが現在のリクエストホストと一致する絶対URLのみを許可し、絶対およびプロトコル相対形式の外部ホストや非httpスキーム（javascript:、data:、mailto:）、ユーザー情報を悪用する手法（http://localhost@attacker/）、および一部ブラウザがスラッシュに正規化するバックスラッシュの変種を拒否します。安全でないターゲットについては内部ブラウザのインデックスにフォールバックします。専用の回帰テストでは各受け入れカテゴリと拒否カテゴリ、および報告者によるPoCを検証しています。本問題はpgAdmin 4のバージョン6.0から9.16未満に影響を与えています。

pgAdmin Project

• pgAdmin 4 6.0 以上 9.16 未満

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. オープンリダイレクト(CWE-601) [その他]

1. CVE-2026-12049

1. National Vulnerability Database (NVD) : CVE-2026-12049
2. 関連文書 : Open redirect in MFA flow via unvalidated 'next' parameter (CVE-2026-12049)  Issue #10028  pgadmin-org/pgadmin4
3. 関連文書 : fix(mfa): reject external 'next' targets in MFA flow to close open re…  pgadmin-org/pgadmin4@fff6a48  GitHub

• [2026年06月30日]
    掲載