CVE-2025-13780
Mis à jour :
Infiltration de Code à Distance dans pgAdmin
Une faille de sécurité critique, identifiée sous la référence CVE-2025-13780, impacte les versions de pgAdmin antérieures à la 9.11. Cette vulnérabilité, exploitée en mode serveur, permet l’exécution de code arbitraire à distance lors de la restauration de fichiers de sauvegarde au format PLAIN.
Points Clés :
- Nature de la Vulnérabilité : Exécution de code à distance (RCE).
- Mode Affecté : Fonctionnement en mode serveur de pgAdmin.
- Scénario d’Exploitation : Restauration de fichiers de dump au format PLAIN.
Vulnérabilité :
- CVE : CVE-2025-13780
- Cause : La fonctionnalité de “pare-feu regex” de l’application ne parvient pas à filtrer correctement les métacommandes psql potentiellement dangereuses, permettant ainsi l’exécution de commandes système.
- Mécanisme d’Attaque : Les attaquants peuvent contourner le filtre regex en insérant des caractères d’espacement (comme les retours chariot) dans les fichiers SQL. Ces caractères sont interprétés par psql mais ignorés par le filtre, ouvrant la voie à l’injection et à l’exécution de commandes malveillantes sur le serveur hôte de pgAdmin lors du processus de restauration.
Recommandations :
- Mise à Jour Immédiate : Il est impératif de mettre à jour pgAdmin vers la version 9.11 ou ultérieure pour corriger cette vulnérabilité.