| Title | pgAdmin ProjectのpgAdmin 4における外部からアクセス可能なファイルまたはディレクトリに関する脆弱性 |
|---|---|
| Summary | pgAdmin 4のLLM API設定エンドポイントにおけるローカルファイルインクルージョン（LFI）およびサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。ユーザーが提供するapi_key_fileおよびapi_urlの設定は検証なしにLLMプロバイダクライアントに渡されていました。認証されたユーザーは、api_key_fileをpgAdminプロセスで読み取り可能な任意のパスに指定することでサーバー側の任意のファイルを読み取ったり、api_urlを設定してchat pathおよびmodel-listエンドポイントを悪用し、クラウドメタデータサービス（例：169.254.169.254）などの内部ターゲットへリクエストを強制的に送信させることが可能でした。修正では、api_key_fileをユーザーのプライベートストレージ（サーバーモード）またはホームディレクトリ（デスクトップモード）に制限し、印刷可能なASCII文字列の形式と1024バイトの読み取り上限を設けました。また、api_urlは設定可能な許可リスト（config.ALLOWED_LLM_API_URLS）に基づき各エントリーポイントで検証されるようになっています。本脆弱性はpgAdmin 4のバージョン9.15より前に影響を及ぼします。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 11, 2026, midnight |
| Registration Date | May 28, 2026, 2:38 p.m. |
| Last Update | May 28, 2026, 2:38 p.m. |
| CVSS3.0 : 警告 | |
| Score | 6.5 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| pgAdmin Project |
| pgAdmin 4 9.13 以上 9.15 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月28日] 掲載 |
May 28, 2026, 2:38 p.m. |
| Summary | Local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities in pgAdmin 4 LLM API configuration endpoints. User-supplied api_key_file and api_url preferences were passed to the LLM provider clients without validation. An authenticated user could read arbitrary server-side files by pointing api_key_file at any path readable by the pgAdmin process, or coerce pgAdmin into making requests to internal targets (e.g. cloud metadata services such as 169.254.169.254) by setting api_url, exploiting the chat path and model-list endpoints. Fix restricts api_key_file to the user's private storage (server mode) or home directory (desktop mode), enforces a printable-ASCII key shape and a 1024-byte read cap, and gates api_url against a configurable allow-list (config.ALLOWED_LLM_API_URLS) at every entry point. This issue affects pgAdmin 4: before 9.15. |
|---|---|
| Publication Date | May 12, 2026, 1:17 a.m. |
| Registration Date | May 12, 2026, 4:14 a.m. |
| Last Update | May 14, 2026, 12:34 a.m. |