CVE-2026-86864

Nome do Software Vulnerável e Versões Afetadas pgAdmin 4 versões anteriores a 9.18

Description A ferramenta de Backup do pgAdmin 4 não valida o campo database na requisição do endpoint /backup/job/<sid>/object. Este campo é anexado como um argumento posicional ao utilitário pg dump. Como o pg dump utiliza getopt long para a análise de argumentos, um invasor pode fornecer um valor iniciado por um hífen para injetar opções. Por exemplo, o uso de --file=/absolute/path permite que o utilitário grave a saída em locais arbitrários acessíveis pelo processo do pgAdmin, possibilitando a criação e a sobrescrita arbitrária de arquivos. Além disso, o campo database permite a injeção de strings de conexão, pois o libpq expande nomes contendo sinais de igual em strings de conexão completas. Isso permite que um invasor redirecione o pg dump para um servidor remoto, potencialmente expondo a senha do banco de dados descriptografada armazenada na variável de ambiente PGPASSWORD. Essas ações podem ser realizadas por qualquer usuário autenticado com a permissão tools backup.

Recommendations Atualize o pgAdmin 4 para a versão 9.18 ou posterior.