CVE-2026-116241: pgAdmin 4 permette esecuzione comandi remoti

CVE-2026-116241 è una vulnerabilità critica in pgAdmin 4, la console web per la gestione di PostgreSQL. Lo strumento Import/Export Data di pgAdmin 4 prima della versione 9.19 non valida correttamente i backslash negli identificatori tra doppi apici, permettendo a un utente database ordinario di eludere il controllo delle parentesi e iniettare una clausola TO PROGRAM nel comando psql \copy (...). Questo consente l'esecuzione di comandi arbitrari con i privilegi dell'account che esegue pgAdmin sulla macchina ospitante.

Il punteggio CVSS è 9,9 (critical), uno dei massimi livelli di gravità. La vulnerabilità è stata pubblicata su NVD il 30 ottobre 2026. È un bypass della precedente fix per CVE-2026-17566, evidenziando la complessità della validazione delle query attraverso interfacce web. La permission di Import/Export Data è assegnata di default agli utenti non amministratori, aumentando significativamente l'esposizione. I segnali su social media confermano la diffusione della notizia nella comunità di amministratori database.

Azione immediata: aggiornare pgAdmin 4 alla versione 9.19 o successiva. Per gli ambienti dove l'aggiornamento non è immediatamente possibile, limitare la permission di Import/Export Data ai soli amministratori e monitorare attentamente le query inviate da utenti database ordinari. Verificare nei log di pgAdmin e della macchina ospitante la presenza di comandi imprevisti. Controllare che standard_conforming_strings sia attivo nel database, poiché la vulnerabilità sfrutta specificamente l'assenza di questo controllo.