pgAdmin 4: OS-Command-Injection über Backslash in Import/Export-Data-Query-Export
Zusammenfassung
pgAdmin 4 vor Version 9.19 umschliesst Query-Exporte des Import/Export-Data-Werkzeugs mit einem psql-Copy-Befehl und prüft die Klammern. Ein Backslash innerhalb eines doppelt gequoteten Bezeichners wird nicht abgelehnt, weshalb eine manipulierte Query eine schliessende Klammer vor der Prüfung verbergen und eine TO-PROGRAM-Klausel über psql auf dem pgAdmin-Host ausführen kann. Damit wird die frühere Korrektur CVE-2026-17566 umgangen. Der Angreifer benötigt einen pgAdmin-Login mit der Berechtigung für Import/Export Data, die Nicht-Administratoren standardmässig erhalten, und kann standard_conforming_strings für seine eigene Datenbankrolle deaktivieren.
Betroffen
- pgAdmin 4 vor Version 9.19 (CVE-Eintrag: 0 bis kleiner 9.19)
- Standardkonfiguration ist laut CNA-Eintrag, der sich auf das Import/Export-Data-Werkzeug bezieht, nicht betroffen.
Behoben in
- pgAdmin 4 Version 9.19 oder neuer (der Fix-Commit lehnt jeden Backslash innerhalb eines doppelt gequoteten Bezeichners ab)
Umgehung
Unbekannt.
- Vorläufige Massnahme aus Drittquellen für den Vorgänger CVE-2026-17566: Berechtigung für Import/Export Data (tools_import_export_data) bei Rollen entziehen, die diese nicht benötigen. Dies ist keine Herstellerempfehlung.
Ausnutzung
- OffSeq führt die CVE als nicht bekanntermassen ausgenutzt. Ein Eintrag im CISA-KEV-Katalog oder eine Herstelleraussage zu Angriffen in freier Wildbahn wurde nicht gefunden.
- Es wurde kein öffentlicher Proof of Concept speziell für diese CVE gefunden. Für den Vorgänger CVE-2026-17566 existiert öffentlicher Proof-of-Concept-Code.
Unsere Empfehlung
- pgAdmin 4 auf allen Desktop- und Server-Installationen auf Version 9.19 oder neuer aktualisieren.
- Bis zur Aktualisierung die Berechtigung für Import/Export Data bei Benutzern entziehen, die sie nicht benötigen.
- pgAdmin mit minimalen Rechten betreiben und Dateisystem- sowie Netzwerkzugriff einschränken.
- Protokolle der Import/Export-Jobs auf unerwartete Query-Exporte prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 9be31a0 (pgAdmin 4) github.com
- pgAdmin 4 issue 10663 (internal tracking for 9.19) github.com
- pgAdmin homepage www.pgadmin.org
- pgAdmin 4 9.19 release notes www.pgadmin.org
- OffSeq threat radar entry for CVE-2026-116241 radar.offseq.com
- Strix CVE entry for CVE-2026-116241 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.