CVE-2025-13780

Fuite de commandes dans pgAdmin

Une faille critique, désignée CVE-2025-13780, a été découverte dans pgAdmin, affectant les versions antérieures à 9.11. Cette vulnérabilité permet l’exécution de code à distance (RCE) lorsque l’application est utilisée en mode serveur et qu’une opération de restauration est effectuée à partir de fichiers de sauvegarde au format PLAIN.

Points clés :

• La vulnérabilité exploite une défaillance du “pare-feu regex” de pgAdmin.
• Ce mécanisme de sécurité ne filtre pas correctement les méta-commandes psql potentiellement dangereuses.
• Les méta-commandes psql peuvent permettre l’exécution de commandes sur le système d’exploitation du serveur hébergeant pgAdmin.

Vulnérabilité :

• CVE: CVE-2025-13780
• Type: Exécution de code à distance (RCE)
• Cause: Le pare-feu regex ne parvient pas à filtrer les méta-commandes psql lors de la restauration de dumps PLAIN.
• Exploitation: Des caractères d’espacement stratégiquement placés (comme les retours chariot) dans les fichiers SQL peuvent contourner le filtre regex et permettre l’injection de commandes arbitraires.

Recommandations :

• Mettre à jour pgAdmin vers la version 9.11 ou une version ultérieure.

Source