pgAdmin 4: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') (CVE-2026-17347)

Was ist betroffen, was ist zu tun

Die Einstellung MASTER_PASSWORD_HOOK, eingeführt in pgAdmin 4 7.2, ermöglicht es einem Administrator, einen externen Befehl zu konfigurieren, der ein pro Benutzer Verschlüsselungsschlüssel zurückgibt, wobei %u im konfigurierten String durch den Namen des aktuellen Benutzers ersetzt wird. Die vorherige Implementierung ersetzte den Benutzernamen direkt in die Befehlszeichenkette und führte das Ergebnis mit subprocess.Popen(..., shell=True) aus.

Aktualisieren Sie Pgadmin.org pgAdmin 4 auf Version 9.17.

Betroffen

• Pgadmin.org pgAdmin 4 lt 7.2..9.17

Behoben in

• Pgadmin.org pgAdmin 4 9.17

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Die Einstellung MASTER_PASSWORD_HOOK, eingeführt in pgAdmin 4 7.2, ermöglicht es einem Administrator, einen externen Befehl zu konfigurieren, der ein pro Benutzer Verschlüsselungsschlüssel zurückgibt, wobei %u im konfigurierten String durch den Namen des aktuellen Benutzers ersetzt wird. Die vorherige Implementierung ersetzte den Benutzernamen direkt in die Befehlszeichenkette und führte das Ergebnis mit subprocess.Popen(..., shell=True) aus. Da der Benutzername von einer externen Authentifizierungsquelle (OAuth/OIDC-Ansprüche, Kerberos, Webserver-Authentifizierung) stammen kann, anstatt von einem Wert, den pgAdmin vollständig kontrolliert, ermöglichte ein Benutzername mit Shell-Metazeichen (';', '$()', Backticks, Pipes, '&&', Zeilenumbrüche) es einem authentifizierten Benutzer, beliebige Befehle als das pgAdmin-Dienstkonto in jeder Bereitstellung auszuführen, bei der die konfigurierte Hook-Zeichenkette %u verwendet. Die Korrektur tokenisiert zuerst den vertrauenswürdigen, vom Administrator konfigurierten Hook-String in einen Argumentvektor (unter Verwendung von shlex im POSIX-Zitierungsmodus, wobei die Backslash-Escape-Funktion deaktiviert ist, damit Windows-Pfade nicht falsch interpretiert werden), ersetzt den unvertrauenswürdigen Benutzernamen in den einzelnen argv-Elementen und führt mit shell=False aus. Der Benutzername wird daher immer auf ein einzelnes argv-Element beschränkt; alle darin enthaltenen Shell-Metazeichen sind unwirksam. Administratoren, deren MASTER_PASSWORD_HOOK zuvor auf Shell-Funktionen (Pipes, Umleitung, Erweiterung von Umgebungsvariablen, Globbing) innerhalb der Hook-Zeichenkette selbst angewiesen war, müssen diese Logik in das aufgerufene Skript verlagern, da sie nicht mehr von einer Shell interpretiert wird. Dieses Problem betrifft pgAdmin 4: von Version 7.2 bis einschließlich 9.16.

Quelle: BSI WID Portal

Hersteller und Produkte

• Open Source Pgadmin
• pgAdmin Project pgAdmin 4
• Pgadmin.org Pgadmin 4

Weakness-Klassen (CWE)

• CWE-78Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

  Base

  The product constructs all or part of an OS command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended OS command when it is sent to a downstream component.

  Eintrag bei MITRE CWE-78

• CWE-88Improper Neutralization of Argument Delimiters in a Command ('Argument Injection')

  Base

  The product constructs a string for a command to be executed by a separate component in another control sphere, but it does not properly delimit the intended arguments, options, or switches within that command string.

  Eintrag bei MITRE CWE-88

Quellen & Referenzen

• github.compgadmin-org/pgadmin4/issues/10213Issue-Tracker, Issue-Tracker, Patch
• github.compgadmin-org/pgadmin4/commit/1496fabe28c9f825f6bac0f0d000d9d3276…Patch, Patch
• github.compgadmin-org/pgadmin4/issues/10194Issue-Tracker, Issue-Tracker, Patch, Hinweis Dritter
• github.compgadmin-org/pgadmin4/commit/24fdcf0f58591c87ada31366c01e1af180e…Patch, Patch
• github.compgadmin-org/pgadmin4/issues/10193Issue-Tracker, Issue-Tracker, Patch, Herstellerhinweis
• github.compgadmin-org/pgadmin4/commit/73b3218992cc37af6e10b7e54eaeed6ec29…Patch, Patch
• github.compgadmin-org/pgadmin4/commit/f75452bfd0f786d0c071638919d48fc1d76…Patch, Patch
• github.compgadmin-org/pgadmin4/issues/10191Issue-Tracker, Issue-Tracker, Patch, Herstellerhinweis
• github.compgadmin-org/pgadmin4/commit/ea7e798aac27174d2bacee1d6e136bed76a…Patch, Patch
• github.compgadmin-org/pgadmin4/commit/e7a85767314e7b0fe0b35fe80b9c1af38f4…Patch, Patch
• github.compgadmin-org/pgadmin4/issues/10192Issue-Tracker, Issue-Tracker, Patch, Herstellerhinweis
• github.compgadmin-org/pgadmin4/commit/ef76102bcd1cdb544eb9b4ef18d3382f22b…Patch, Patch
• github.compgadmin-org/pgadmin4/commit/bf4792444446f0e7ab721d23cbd6bfe6afa…related, Patch
• github.compgadmin-org/pgadmin4/issues/10190Issue-Tracker, Issue-Tracker, Patch, Herstellerhinweis
• github.compgadmin-org/pgadmin4/commit/461c3afba92baad37c70a6fbd52d205d13a…Patch, Patch
• github.compgadmin-org/pgadmin4/commit/d36bd8dc96812c716664feac533d240544e…Patch, Patch
• github.compgadmin-org/pgadmin4/commit/ba1984718ad703011740ad48cb9b82402b8…Patch, Patch
• github.compgadmin-org/pgadmin4/commit/64a9cdbd6a240a962144f84418beaf9e664…Patch, Patch
• github.compgadmin-org/pgadmin4/issues/10200Issue-Tracker, Issue-Tracker, Patch, Herstellerhinweis
• github.compgadmin-org/pgadmin4/commit/a7e74a6ed685bc34e1f77a8b6a94d00fa3d…related, Patch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 07.08.2026Erstanalyse durch die NVDNVD

   Neu als betroffen eingetragen:

   • pgAdmin Project pgAdmin 4 (7.2 – vor 9.17)

   CVSS V3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

   Neue Referenzen:

   • https://github.com/pgadmin-org/pgadmin4/commit/e7a85767314e7b0fe0b35fe80b9c1af38f48dff6
   • https://github.com/pgadmin-org/pgadmin4/commit/ea7e798aac27174d2bacee1d6e136bed76a95e23
   • https://github.com/pgadmin-org/pgadmin4/issues/10191
   5 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   CVSS	ergänzt	—	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
   Produktkonfiguration	ergänzt	—	OR *cpe:2.3:a:pgadmin:pgadmin_4:*:*:*:*:*:postgresql:*:* versions from (including) 7.2 up to (excluding) 9.17
   Referenztyp	ergänzt	—	PostgreSQL: https://github.com/pgadmin-org/pgadmin4/commit/e7a85767314e7b0fe0b35fe80b9c1af38f48dff6 Types: Patch
   Referenztyp	ergänzt	—	PostgreSQL: https://github.com/pgadmin-org/pgadmin4/commit/ea7e798aac27174d2bacee1d6e136bed76a95e23 Types: Patch
   Referenztyp	ergänzt	—	PostgreSQL: https://github.com/pgadmin-org/pgadmin4/issues/10191 Types: Issue Tracking, Patch, Vendor Advisory

   Kennung der Quelle: nvd@nist.gov

2. 31.07.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: nein

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-17347","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-31T17:23:19.113335Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

3. 31.07.2026Neu erfasstf86ef6dc…

   CVSS V4.0: AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

   CVSS V3.1: AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

   Schwachstellentyp: CWE-78, CWE-88

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://github.com/pgadmin-org/pgadmin4/commit/e7a85767314e7b0fe0b35fe80b9c1af38f48dff6
   • https://github.com/pgadmin-org/pgadmin4/commit/ea7e798aac27174d2bacee1d6e136bed76a95e23
   • https://github.com/pgadmin-org/pgadmin4/issues/10191
   9 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	pgAdmin 4
   Beschreibung	ergänzt	—	The MASTER_PASSWORD_HOOK setting, introduced in pgAdmin 4 7.2, lets an administrator configure an external command that returns a per-user encryption key, with %u in the configured string replaced by the current user's name. The previous implementation substituted the username directly into the command string and executed the result with subprocess.Popen(..., shell=True). Because the username can originate from an external authentication source (OAuth/OIDC claims, Kerberos, webserver auth) rather than a value pgAdmin fully controls, a username containing shell metacharacters (';', '$()', backticks, pipes, '&&', newlines) allowed an authenticated user to execute arbitrary commands as the pgAdmin service account in any deployment where the configured hook string uses %u. Fix tokenises the trusted, administrator-configured hook string into an argument vector first (using shlex in POSIX-quoting mode, with backslash-escaping disabled so Windows-style paths are not mis-parsed), substitutes the untrusted username into the individual argv elements, and executes with shell=False. The username is therefore always confined to a single argv element; any shell metacharacters it contains are inert. Administrators whose MASTER_PASSWORD_HOOK previously relied on shell features (pipes, redirection, environment-variable expansion, globbing) within the hook string itself must move that logic into the invoked script, since it is no longer interpreted by a shell. This issue affects pgAdmin 4: from 7.2 before 9.17.
   CVSS	ergänzt	—	AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
   CVSS	ergänzt	—	AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
   Schwachstellentyp (CWE)	ergänzt	—	CWE-78
   Schwachstellentyp (CWE)	ergänzt	—	CWE-88
   Referenz	ergänzt	—	https://github.com/pgadmin-org/pgadmin4/commit/e7a85767314e7b0fe0b35fe80b9c1af38f48dff6
   Referenz	ergänzt	—	https://github.com/pgadmin-org/pgadmin4/commit/ea7e798aac27174d2bacee1d6e136bed76a95e23
   Referenz	ergänzt	—	https://github.com/pgadmin-org/pgadmin4/issues/10191

   Kennung der Quelle: f86ef6dc-4d3a-42ad-8f28-e6d5547a5007

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.