【缝隙公告】pgAdmin 4 操作系统号令注入缝隙(CVE-2026-17566)

颁布功夫 2026-08-03

一、缝隙概述


Z6·人生就是博(中国区)官方网站


pgAdmin 4是pgAdmin Development Team守护的开源PostgreSQL图形化治理工具 ，支持数据库对象治理、SQL查问执杏注数据导入导出、备份复原、服务器监控及用户权限配置等职能 ，可选取桌面模式或服务器模式部署 ，宽泛用于PostgreSQL数据库的开发、运维和治理 。


2026年8月3日 ，Z6人生就是博安全应急响应中心（VSRC）监测到pgAdmin 4 操作系统号令注入缝隙 。该职能将用户提交的 SQL查问拼接至 psql的\copy号令并通过command执行 ，但查问防护逻辑谬误地将单引号字符串中的反斜杠视为转义字符 ，与 PostgreSQL默认启用的standard_conforming_strings行为不一致 。拥有低权限账户的远程攻击者可机关恶意查问绕过括号平衡查抄 ，注入TO PROGRAM子句 ，以 pgAdmin服务过程权限在主机上执行肆意系统号令 ，进而窃取或篡改数据库数据、节造服务器并中断业务 。



二、影响领域



pgAdmin 4 < 9.17



三、安全措施



3.1 升级版本


官方已颁布建复补丁 ，以建复该缝隙

pgAdmin 4 >= 9.17


下载链接：

https://github.com/pgadmin-org/pgadmin4/tags


3.2 一时措施


暂无 。


3.3 通用建议


定期更新系统补丁 ，削减系统缝隙 ，提升服务器的安全性 。

加强系统和网络的接见节造 ，批改防火墙战术 ，关关非必要的利用端口或服务 ，削减将危险服务（如SSH、RDP等）露出到公网 ，削减攻击面 。

使用企业级安全产品 ，提升企业的网络安全机能 。

加强系统用户和权限治理 ，启用多成分认证机造和最幼权限准则 ，用户和软件权限应维持在最低限度 。

启用强密码战术并设置为定期批改 。


3.4 参考链接


https://github.com/pgadmin-org/pgadmin4/issues/10213/

https://github.com/pgadmin-org/pgadmin4/commit/1496fabe28c9f825f6bac0f0d000d9d3276322c3