「pgAdmin 4」に複数脆弱性 - 認証情報漏洩や任意コマンド実行のおそれ

データベース「PostgreSQL」向けの管理ツール「pgAdmin 4」に複数の脆弱性が明らかとなった。「クリティカル（Critical）」とされる脆弱性も含まれる。

開発チームは、現地時間2026年5月11日に「同9.15」をリリースし、8件の脆弱性へ対処したことを明らかにした。なかでも脆弱性「CVE-2026-7813」については、重要度が4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同脆弱性は、サーバモードにおいて、エンドポイントからユーザーが所有するオブジェクトを取得する際、リクエストしたユーザーの識別情報による絞り込みが行われていないことに起因。

認証されているユーザーが、オブジェクトIDを推測することで、別ユーザーのプライベートサーバ、サーバグループ、バックグラウンドプロセス、デバッガの関数引数へアクセスでき、他ユーザーの情報を参照できるという。

認証情報の漏洩やデータの改ざんにくわえ、接続確立時に実行されるシェルコマンドを悪用することで、任意のコマンドを実行することも可能となる。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.9」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

（Security NEXT - 2026/05/12 ）ツイート