【缝隙公告】pgAdmin 4 远程号令执行缝隙(CVE-2025-13780)
颁布功夫 2025-12-17一、缝隙概述
缝霞称 | pgAdmin 4 远程号令执行缝隙 | ||
CVE ID | CVE-2025-13780 | ||
缝隙类型 | RCE | 发现功夫 | 2025-12-17 |
缝隙评分 | 9.1 | 缝隙等级 | 严沉 |
攻击向量 | 网络 | 所需权限 | 低 |
利用难度 | 低 | 用户交互 | 不必要 |
PoC/EXP | 已公开 | 在野利用 | 未发现 |
pgAdmin是一个用于治理和开发PostgreSQL数据库的开源图形化工具。 。。。。。它提供了一个用户敦睦的界面，，，，，，，，用于执行SQL查问、治理数据库对象、查看数据库对象的结构、天生报表和备份/复原数据库等操作。 。。。。。pgAdmin支持多种操作系统，，，，，，，，蕴含Windows、macOS和Linux，，，，，，，，并且能够通过Web浏览器接见，，，，，，，，便于远程治理。 。。。。。它宽泛利用于数据库治理员、开发人员和数据分析师中，，，，，，，，支持PostgreSQL的所有职能并简化了数据库治理工作。 。。。。。
2025年12月17日，，，，，，，，8827太阳集团集团VSRC监测到pgAdmin 4中的一个远程号令执行缝隙。 。。。。。该缝隙呈此刻PLAIN复原元号令过滤器中，，，，，，，，该过滤器是为建复CVE-2025-12762而引入的。 。。。。。该过滤器未能正确鉴别以UTF-8字节挨次象征（EF BB BF）或其他特殊字节序列开头的SQL文件中的元号令。 。。。。。过滤器使用的has_meta_commands()函数通过正则表白式扫描原始字节，，，，，，，，但未能将这些字节视为可忽略，，，，，，，，从而导致元号令（如\\!）未被检测到。 。。。。。当pgAdmin通过psql file号令挪用SQL文件时，，，，，，，，psql会去除这些字节并执行其中的号令，，，，，，，，从而可能导致远程号令执行。 。。。。。
二、影响领域
pgAdmin 4 < 9.11
三、安全措施
3.1 升级版本
下载链接：https://github.com/pgadmin-org/pgadmin4/
3.2 一时措施
暂无。 。。。。。
京公网安备11010802024551号