pgadmin

Rilevate molteplici vulnerabilità in pgAdmin Alert AL02/260803/CSIRT-ITA Sintesi Rilevate molteplici vulnerabilità di sicurezza, di cui tre con gravità "critica" e due con gravità "alta", che interessano il software pgAdmin, noto strumento open-source utilizzato per la gestione dei database PostgreSQL. Tra queste, si evidenzia la CVE-2026-17351, per la quale risulta disponibile un Proof of Concept (PoC) online. Tipologia Remote Code Execution Security Restrictions Bypass Data Manipulation Privilege Escalation Descrizione e potenziali impatti La vulnerabilità identificata tramite la CVE-2026-17351 - di tipo 'SQL Injection' e con score CVSS v3.1 pari a 9.0 - interessa la funzionalità AI Assistant "execute_sql_query tool". Tale vulnerabilità è dovuta ad un fix incompleto della CVE-2026-12045, ed in particolare ad una differenza di interpretazione (parser mismatch) tra il parser utilizzato per la validazione delle query (sqlparse) e quello di PostgreSQL impiegato durante l'esecuzione. Un attaccante remoto autenticato potrebbe sfruttare tale condizione inducendo l'AI Assistant a eseguire una query appositamente predisposta per eludere le restrizioni della modalità read-only: ciò consentirebbe l'esecuzione di istruzioni SQL non autorizzate e la modifica dei dati nel database. In determinate condizioni, la vulnerabilità potrebbe inoltre reintrodurre scenari di esecuzione di codice arbitrario. Prodotti e versioni affette pgAdmin 4, versioni precedenti alla 9.18 Azioni di mitigazione Ove non già provveduto, si raccomanda l'applicazione delle patch di sicurezza più recenti fornite dal produttore. Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica” e “alta”:

Rilevata vulnerabilità in pgAdmin Alert AL01/260206/CSIRT-ITA Sintesi Rilevata vulnerabilità di sicurezza, con gravità "alta", che interessa il software pgAdmin, noto strumento open-source utilizzato per la gestione dei database PostgreSQL. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato, avente facoltà di accesso all’interfaccia web, di eseguire comandi sul server che ospita pgAdmin. Nello specifico, la vulnerabilità risulta particolarmente grave qualora il software sia configurato in modalità server. Nel dettaglio tale modalità introduce caratteristiche che amplificano l’esposizione di un potenziale attacco e permetterebbero a un attaccante uno sfruttamento da remoto, senza alcuna interazione dell’utente. Tipologia Remote Code Execution Prodotti e versioni affette pgAdmin 4, versione 9.11 Azioni di mitigazione In attesa del rilascio della patch da parte degli sviluppatori si raccomanda di applicare immediatamente queste restrizioni operative: Isolamento di Rete: limitare drasticamente l'accesso all'interfaccia web di pgAdmin, rendendola irraggiungibile da reti pubbliche o non fidate. Stop ai Restore PLAIN: evitare il ripristino da file dump in formato PLAIN provenienti da fonti non verificate quando in Server Mode. Disabilitazione Funzionalità: ove possibile, disabilitare la funzionalità di restore lato server fino al rilascio di una patch. Monitoraggio: controllare i log al fine di evidenziare attività sospette durante le operazioni di restore.

Risolta vulnerabilità in pgAdmin Alert AL02/251216/CSIRT-ITA Risolta una vulnerabilità di sicurezza con gravità “critica” in pgAdmin, noto strumento open-source utilizzato per la gestione dei database PostgreSQL. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato di eseguire codice arbitrario e di accedere ad informazioni sensibili. Tipologia Remote Code Execution Prodotti e/o versioni affette pgAdmin 4 tutte le versioni precedenti alla 9.11 Azioni di mitigazione Si raccomanda di aggiornare il prodotto vulnerabile seguendo le indicazioni dei bollettini di sicurezza riportati nella sezione Riferimenti.

Risolta vulnerabilità in pgAdmin Alert AL02/251117/CSIRT-ITA Sintesi Risolta una vulnerabilità di sicurezza con gravità “critica” in pgAdmin, noto strumento open-source utilizzato per la gestione dei database PostgreSQL. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato di eseguire codice arbitrario e di accedere ad informazioni sensibili. Tipologia Information Disclosure Remote Code Execution Prodotti e/o versioni affette pgadmin4 tutte le versioni precedenti alla 9.10 Azioni di mitigazione Si raccomanda di aggiornare il prodotto vulnerabile seguendo le indicazioni dei bollettini di sicurezza riportati nella sezione Riferimenti.

Risolta vulnerabilità in pgAdmin Alert AL02/250908/CSIRT-ITA Sintesi Risolta una vulnerabilità di sicurezza con gravità “alta” in pgAdmin, noto strumento open-source utilizzato per la gestione dei database PostgreSQL. Tale vulnerabilità, qualora sfruttata, potrebbe consentire a un utente malintenzionato il bypass dei meccanismi di autenticazione, di accedere a informazioni sensibili e/o di elevare i propri privilegi sul sistema interessato. Tipologia Authentication Bypass Information Disclosure Privilege Escalation Prodotti e/o versioni affette pgadmin4 tutte le versioni precedenti alla 9.8 Azioni di mitigazione Si raccomanda di aggiornare il prodotto vulnerabile seguendo le indicazioni dei bollettini di sicurezza riportati nella sezione Riferimenti.