DB管理ツール「pgAdmin 4」に複数の脆弱性 - 修正版が公開

PostgreSQL向けの管理ツール「pgAdmin 4」に複数の脆弱性が明らかとなった。セキュリティアップデートが提供されている。

開発チームは現地時間2026年9月17日、アップデートとなる「pgAdmin 4 9.18」を公開。新機能や不具合の修正を含め、あわせて29件の変更を実施するとともに、CVEベースで4件の脆弱性を修正した。

「CVE-2026-86863」は、ウェブサーバ認証の不備に起因し、外部から送信されたHTTPヘッダを信頼することで認証回避のおそれがある脆弱性。

ウェブサーバから利用者情報を取得できない場合に、指定された利用者名を受け入れるため、パスワードを必要とすることなく管理者などになりすますことが可能となる。

バックアップ機能では、データベース名をコマンドの引数として処理することに起因するコマンドインジェクションの脆弱性「CVE-2026-86864」が判明した。悪用には認証が必要だが、保存領域外へのファイル書き込みや、接続先を変更してデータベース接続用パスワードを外部へ送信させることなどが可能。

（Security NEXT - 2026/09/18 ）ツイート