Fernando Bortotti

**Nome do Software Vulnerável e Versões Afetadas** pgAdmin 4 versões 6.6 até 9.15 **Descrição** A injeção de HTML é possível no módulo de implantação em nuvem. A aplicação propaga textos de exceção dos SDKs da AWS, Azure e Google, bem como exceções de resolução de arquivos e commit de banco de dados, para os corpos de resposta JSON nos campos `info` e `errormsg` sem a codificação HTML. O frontend do Cloud Wizard renderiza essas strings usando `html-react-parser`, permitindo que HTML estrutural seja incorporado diretamente ao DOM. Os detalhes técnicos incluem os seguintes endpoints afetados: - '/rds/verify credentials/' - '/rds/deploy' - '/rds/regions' - '/rds/update-server' - '/azure/verify credentials' - '/azure/deploy' - '/azure/regions' - '/azure/update-server' - '/azure/check cluster name availability' - '/google/verify credentials' - '/google/deploy' - '/google/regions' - '/google/update-server' - '/google/verification ack' - '/google/projects' - '/google/instance types' - '/google/database versions' - '/cloud/deploy' - '/cloud/update cloud server' Um invasor pode usar a variável `access key` para enviar um payload manipulado. Por exemplo, fornecer um valor contendo um iframe pode levar o navegador a buscar conteúdo de um host controlado pelo invasor e redirecionar a aba da vítima. Esta injeção ocorre dentro da interface do pgAdmin, ignorando X-Frame-Options e Content-Security-Policy frame-ancestors. **Recomendações** Atualize o pgAdmin 4 para a versão 9.16.

**Nome do Software Vulnerável e Versões Afetadas** pgAdmin 4 versões 6.9 a 9.15 **Descrição** No modo servidor, dois endpoints de mutação de estado no blueprint do SQL Editor não possuem o decorador de autenticação `@pga login required`, permitindo que sejam acessados sem uma sessão autenticada. Esses endpoints são 'DELETE /sqleditor/close/<trans id>' e 'POST /sqleditor/initialize/sqleditor/update connection/<sgid>/<sid>/<did>'. Ambos os endpoints levam a um sink `pickle.loads` — o endpoint de fechamento via a função `close sqleditor session()` e o endpoint de atualização de conexão via a função `check transaction status()` — que processa a variável `session['gridData'][<trans id>]['command obj']`. Isso cria um caminho de desserialização de dados não confiáveis. A execução remota de código é possível se um invasor conseguir forjar um arquivo de sessão no servidor contendo um payload pickle malicioso, o que requer o conhecimento da `SECRET KEY` do Flask e acesso de escrita ao diretório `sessions/` no host. Se essas condições forem atendidas, a falta de autenticação permite a execução de código arbitrário sob a conta que executa o processo pgAdmin, podendo levar ao comprometimento total do host e ao roubo de credenciais do banco de dados. **Recomendações** Atualize o pgAdmin 4 para a versão 9.16.

**Nome do Software Vulnerável e Versões Afetadas** pgAdmin 4 versões 6.0 a 9.15 **Descrição** Existe um cross-site scripting armazenado nos caminhos de renderização de erros e de nós de plano. O texto retornado por um servidor PostgreSQL, como mensagens `ErrorResponse`, nomes de objetos em erros de relação inexistente e campos Recheck Cond ou Exact Heap Blocks do `EXPLAIN`, é passado integralmente através do `html-react-parser` em vários pontos de saída voltados ao usuário. Esses pontos incluem notificações (toasts), `FormFooterMessage`, áreas de ajuda e erro do `FormInput`, `FormNote`, AlertContent e confirmDelete do `ModalProvider`, `ToolErrorView`, painel `NodeText` do visualizador Explain, diálogos de confirmação do editor SQL, `ConfirmSaveContent`, alertas modais do `PreferencesHelper` e texto de ajuda do `SelectThemes`. Um invasor que controle um servidor PostgreSQL, ou um usuário de baixo privilégio capaz de criar objetos com nomes manipulados, pode injetar HTML arbitrário, como tags `<iframe>`, no DOM. Isso ocorre quando a vítima se conecta ao servidor ou visualiza um plano Explain que referencia o objeto manipulado. O iframe injetado pode executar JavaScript para redirecionar o usuário para uma URL controlada pelo invasor. Como a injeção ocorre dentro da interface interna, controles anti-clickjacking padrão, como X-Frame-Options e Content-Security-Policy frame-ancestors, não são eficazes. **Recomendações** Atualize o pgAdmin 4 para a versão 9.16 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** pgAdmin 4 versões anteriores a 9.15 **Description** A restrição inadequada de tentativas excessivas de autenticação ocorre porque a configuração `MAX LOGIN ATTEMPTS` é aplicada apenas no endpoint personalizado '/authenticate/login'. O endpoint '/login' padrão do Flask-Security não verifica o campo `User.locked`, dependendo de `UserMixin.is locked()` e `is active`, que não validam corretamente o status de bloqueio. Isso permite que um invasor ignore a proteção contra força bruta para contas que utilizam a fonte de autenticação INTERNAL, enviando credenciais diretamente para o endpoint '/login', possibilitando ataques de adivinhação de senha online ilimitados. Este problema não afeta usuários autenticados via LDAP, OAuth2, Kerberos ou Webserver, pois estes não possuem senhas locais. **Recommendations** Atualize o pgAdmin 4 para a versão 9.15 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** pgAdmin 4 versões anteriores a 9.15 **Description** O `FileBackedSessionManager` no pgAdmin 4 realiza a desserialização insegura de conteúdos de arquivos de sessão usando o módulo de serialização de objetos padrão do Python antes de realizar uma verificação de integridade HMAC. Isso permite que qualquer arquivo colocado no diretório de sessões seja desserializado incondicionalmente. Um usuário autenticado com acesso de gravação ao diretório de sessões, potencialmente por meio de erro de configuração ou uma falha de path-traversal, pode usar um payload serializado manipulado para alcançar a execução remota de código no nível do sistema operacional sob a identidade do processo pgAdmin. **Recommendations** Atualize para a versão 9.15 ou posterior. Restrinja o acesso de gravação ao diretório de sessões para evitar que usuários não autorizados implantem arquivos manipulados.

**Nome do Software Vulnerável e Versões Afetadas** pgAdmin 4 versões anteriores a 9.15 **Descrição** Um problema de travessia de caminho via link simbólico existe no Gerenciador de Arquivos do pgAdmin 4. A função `check access permission()` utilizava `os.path.abspath`, que resolve referências de diretórios pai, mas não resolve links simbólicos. Como a operação de gravação subsequente do kernel segue links simbólicos, um usuário autenticado pode criar um link simbólico dentro de seu próprio diretório de armazenamento que aponte para um local externo. Isso permite que o usuário induza o pgAdmin a gravar em qualquer caminho acessível pelo processo do pgAdmin, comprometendo potencialmente a integridade e a disponibilidade de informações protegidas. Trata-se de uma condição de corrida TOCTOU (Time-of-Check to Time-of-Use) entre a verificação de acesso e a operação de abertura do arquivo. **Recomendações** Atualize para a versão 9.15 ou posterior.