CVE-2026-12050

pgAdmin 4-ün adlandırılmış bərpa nöqtəsi son nöqtəsində (endpoint) (POST /browser/server/restore_point/{gid}/{sid}) SQL inyeksiyası aşkar edilmişdir. İstifadəçi tərəfindən təmin edilən 'value' sahəsi bağlanmış parametr kimi ötürülmək əvəzinə, str.format() vasitəsilə birbaşa SQL sətrinə daxil edilmişdir ki, bu da qoşulmuş PostgreSQL sessiyasına malik autentifikasiya olunmuş pgAdmin istifadəçisinə həmin son nöqtə vasitəsilə əlavə ifadələri inyeksiya etməyə imkan verir. İnyeksiya edilmiş SQL, istifadəçinin artıq autentifikasiya olduğu verilənlər bazası rolu altında icra edilir. Qüsur imtiyaz sərhədini keçmir — istifadəçi Query Tool vasitəsilə həmin rola artıq birbaşa SQL girişinə malikdir — buna görə də hücum edən öz verilənlər bazası rolunun ona verdiyi imkanlardan kənar heç bir üstünlük qazanmır. Marjinal təsir, inyeksiya yolunun sənədləşdirilmiş SQL-icra interfeysi olmaması faktını nəzərə alır, beləliklə, Query Tool-u tətbiq səviyyəsində məhdudlaşdıran sistemdə gözlənilməyən yol vasitəsilə SQL icra oluna bilər. Düzəliş bərpa nöqtəsinin adını bağlanmış parametr kimi ötürür və funksiya çağırışını pg_catalog.pg_create_restore_point kimi sxemlə kvalifikasiya edir ki, bağlantıdakı standart olmayan search_path çağırışı kölgə tərifə yönləndirməsin. Reqressiya testi dəyərin SQL sətirinə birləşdirilmədiyini və bağlanmış parametr kimi çatdığını təsdiqləyir. Bu problem pgAdmin 4-ün 1.0 versiyasından 9.16 versiyasına qədər olan hissəsinə təsir edir.