Impatto Sistemico

Critico (78.2)

Sintesi

Rilevate molteplici vulnerabilità di sicurezza, di cui tre con gravità “critica” e due con gravità “alta”, che interessano il software pgAdmin, noto strumento open-source utilizzato per la gestione dei database PostgreSQL. Tra queste, si evidenzia la CVE-2026-17351 , per la quale risulta disponibile un Proof of Concept (PoC) online.

Tipologia

• Remote Code Execution
• Security Restrictions Bypass
• Data Manipulation
• Privilege Escalation

Descrizione e potenziali impatti

La vulnerabilità identificata tramite la CVE-2026-17351 – di tipo ‘ SQL Injection ‘ e con score CVSS v3.1 pari a 9.0 – interessa la funzionalità AI Assistant ” execute_sql_query tool “. Tale vulnerabilità è dovuta ad un fix incompleto della CVE-2026-12045 , ed in particolare ad una differenza di interpretazione ( parser mismatch ) tra il parser utilizzato per la validazione delle query ( sqlparse ) e quello di PostgreSQL impiegato durante l’esecuzione. Un attaccante remoto autenticato potrebbe sfruttare tale condizione inducendo l’AI Assistant a eseguire una query appositamente predisposta per eludere le restrizioni della modalità read-only: ciò consentirebbe l’esecuzione di istruzioni SQL non autorizzate e la modifica dei dati nel database. In determinate condizioni, la vulnerabilità potrebbe inoltre reintrodurre scenari di esecuzione di codice arbitrario.

Prodotti e versioni affette

pgAdmin 4, versioni precedenti alla 9.18

Azioni di mitigazione

Ove non già provveduto, si raccomanda l’applicazione delle patch di sicurezza più recenti fornite dal produttore.

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica” e “alta”: