Exécution de code à distance affectant pgAdmin 4
Une vulnérabilité affectant pgAdmin 4 permettrait à un acteur malveillant authentifié disposant de la permission « Import/Export Data » d'injecter des commandes arbitraires et d'exécuter du code à distance sur le serveur hébergeant l'application.
Description
Contexte technique et détails de la vulnérabilité
pgAdmin 4 est un outil d'administration et de développement pour les bases de données PostgreSQL. Cet outil est affecté par une vulnérabilité libellée CVE-2026-17566, résultant d'une validation insuffisante dans le vérificateur d'équilibrage des parenthèses utilisé par la fonctionnalité d'import/export de données. Son exploitation permettrait à un attaquant authentifié de forger une requête contournant cette validation afin d'injecter des commandes et d'exécuter du code arbitraire avec les privilèges du compte système exécutant le service pgAdmin 4 sur le serveur. Elle est classée critique avec un score de sévérité de 9.9 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code à distance ;
- Atteinte à la confidentialité, à l'intégrité et à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Toutes les versions de pgAdmin 4 antérieures à la version 9.18.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour pgAdmin 4 vers la version 9.18 ou supérieure.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.