A configuração MASTER_PASSWORD_HOOK, introduzida no pgAdmin 4 7.2, permite que um administrador configure um comando externo que retorna uma chave de criptografia por usuário, com%u na cadeia configurada substituído pelo nome do usuário atual. A implementação anterior substituiu o nome de usuário diretamente na string de comandos e executou o resultado com o subprocesso.Popen(..., shell=True). Como o nome de usuário pode originar- se de uma fonte de autenticação externa (reclamações OAuth/ OIDC, Kerberos, webserver auth) em vez de um valor pgAdmin controla completamente, um nome de usuário contendo metacaracters shell (';', '$()', backticks, pipes, '&&', newlines) permitiu que um usuário autenticado executasse comandos arbitrários como a conta de serviço pgAdmin em qualquer implantação onde a cadeia de gancho configurada use%u. Corrija a cadeia de gancho confiável, configurada pelo administrador, em um vetor de argumentos primeiro (usando shlex no modo de citação POSIX, com escavação de backslash desativada para que os caminhos do estilo Windows não sejam errados), substitui o nome de usuário não confiável pelos elementos argv individuais e executa com shell= False. O nome de usuário é, portanto, sempre confinado a um único elemento argv; quaisquer meta- caracteres de shell que contêm são inertes. Os administradores cujo MASTER_ PASSWORD_ HOOK já se baseou nas características da shell (tubos, redirecionamento, expansão variável ao ambiente, globbing) dentro da própria cadeia de gancho devem mover essa lógica para o script invocado, uma vez que ela não é mais interpretada por um shell.
Esta questão afeta o pgAdmin 4: from 7.2 antes 9.17. Registro de aconselhamento: GHSA-f 649 - fjv 9 -qgcg. Identificadores relacionados: CVE- 2026 - 17347.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 31 T 18: 32: 17.000 Z e lista a sua última modificação como 2026 - 07 - 31 T 18: 32: 17.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H; CVSS_V 4: CVSS: 4.0 /AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 78. O registro contém 4 suporte de referências nestes tipos: AVISO, WEB.