Pubblicato il 2026-07-31 · Fonte: NVD NIST
La vulnerabilità CVE-2026-17351 colpisce pgAdmin 4, versionsi da 9.13 a 9.16. Questa vulnerabilità, classificata come critica con un punteggio CVSS di 9.0, consente a un attaccante di eseguire codice arbitrario a causa di una disaccordo tra il parser sqlparse e il parser di PostgreSQL. Ciò avviene quando una query viene eseguita all'interno di una transazione di sola lettura, permettendo all'attaccante di bypassare le misure di sicurezza e eseguire comandi non autorizzati.
Un attaccante può sfruttare questa vulnerabilità per eseguire comandi arbitrari sul database PostgreSQL, inclusa la creazione di tabelle e l'inserimento di dati. Ciò può portare a violazioni della sicurezza dei dati e alla compromissione del sistema. I sistemi a rischio sono quelli che utilizzano pgAdmin 4 nelle versioni interessate dalla vulnerabilità.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, è consigliabile aggiornare pgAdmin 4 alla versione 9.17 o successiva. In alternativa, è possibile configurare la connessione al database impostando il parametro prepare_threshold su 0, in modo da forzare l'utilizzo del protocollo di query estese e prevenire l'esecuzione di comandi multipli.
La causa è un disaccordo tra il parser sqlparse e il parser di PostgreSQL, che consente l'esecuzione di codice arbitrario all'interno di una transazione di sola lettura.
Le versioni di pgAdmin 4 interessate dalla vulnerabilità sono quelle da 9.13 a 9.16.
Per proteggersi, è consigliabile aggiornare pgAdmin 4 alla versione 9.17 o successiva, o configurare la connessione al database impostando il parametro prepare_threshold su 0.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.