PT-2026-66776
CVE-2026-17351
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 4.0
9.4
حرجةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
pgAdmin 4، الإصدارات من 9.13 إلى 9.16
الوصف
توجد مشكلة تتمثل في فشل أداة
execute sql query التابعة لمساعد الذكاء الاصطناعي (AI Assistant) في التحقق بشكل صحيح من صحة الاستعلامات المقدمة من نموذج لغوي كبير (LLM). تستخدم الأداة sqlparse لضمان تنفيذ بيان واحد فقط غير متعلق بالتحكم في المعاملات ضمن معاملة للقراءة فقط. ومع ذلك، فإن التباين بين كيفية تعامل sqlparse وPostgreSQL مع تحليل السلاسل النصية الثابتة يسمح للمهاجم بتهريب عدة بيانات. من خلال استخدام شرطة مائلة عكسية قبل علامة الاقتباس، يمكن للمهاجم تجاوز أداة التحقق وتنفيذ أوامر غير مصرح بها، مثل COMMIT أو CREATE TABLE، مما يؤدي إلى تجاوز القيود الأمنية، أو التلاعب بالبيانات، أو تنفيذ التعليمات البرمجية عن بُعد. ويمكن تحقيق ذلك عبر الحقن غير المباشر للموجه، حيث يتم وضع حمولة ضارة في كائن يقرأه مساعد الذكاء الاصطناعي.التوصيات
قم بتحديث pgAdmin 4 إلى الإصدار 9.17 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد وصول المساعد الذكي إلى الكائنات التي قد تحتوي على محتوى غير موثوق به لمنع الحقن غير المباشر للموجه.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾