一、漏洞详情

pgAdmin 4是一款针对PostgreSQL数据库的客户端管理软件。

近日，监测到pgAdmin 4操作系统命令注入漏洞。该功能将用户提交的SQL查询拼接至psql的\copy命令并通过command执行，但查询防护逻辑错误地将单引号字符串中的反斜杠视为转义字符，与 PostgreSQL默认启用的standard_conforming_strings行为不一致。具有低权限账户的远程攻击者可构造恶意查询绕过括号平衡检查，注入TO PROGRAM子句，以pgAdmin服务进程权限在主机上执行任意系统命令，进而窃取或篡改数据库数据、控制服务器并中断业务。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

pgAdmin 4 < 9.17

三、修复建议

官方已发布安全补丁，请及时更新至安全版本。

pgAdmin 4 >= 9.17