Resumo e contexto
EndorLabs publicou análise de uma falha crítica em pgAdmin 4 (CVE-2025-13780) que permitia a execução de comandos shell no host via recurso de restore em plain-text. O pgAdmin lançou a versão 9.11 que altera o modo de restauração para mitigar a técnica.
Descoberta e escopo / O que mudou agora
O problema residia na tentativa de filtro por expressões regulares para bloquear comandos perigosos em dumps SQL enviados para restauração. Pesquisadores da EndorLabs demonstraram que inserindo caracteres de espaço em branco inesperados (ex.: form feed, carriage return) entre linhas e comandos era possível burlar o regex enquanto o utilitário psql ainda interpretava e executava o payload.
Vetor e exploração / Mitigações
O vetor consiste em upload de um SQL dump malicioso pelo recurso de restore em pgAdmin 4; ao processar o arquivo, psql executava instruções que contêm comandos de sistema. Em resposta, a equipe do pgAdmin substituiu a abordagem de input-filtering por uma proteção em nível de execução: a versão 9.11 aplica o comando \restrict ao psql, instruindo-o a desabilitar operações perigosas durante o restore, removendo a dependência de regex.
Mitigação imediata: atualizar para pgAdmin 9.11. Times que não podem atualizar imediatamente devem bloquear uploads de restore via interface administrativa e restringir o acesso ao serviço apenas a contas administrativas confiáveis; revisar práticas de ingestão de dumps e realizar restaurações em ambientes isolados.
Impacto e alcance / Setores afetados
pgAdmin é amplamente usado por DBAs e equipes de desenvolvimento que gerenciam instâncias PostgreSQL. A falha, com CVSS reportado de 9.9, permite RCE no host onde o serviço é executado: impacto crítico para servidores de banco de dados e infraestruturas que hospedam múltiplos serviços em máquina única.
Limites das informações / O que falta saber
O relatório técnico explica o bypass do filtro regex e a correção adotada; não há indício público, nas fontes consultadas, de exploração massiva antes do patch. Ainda assim, dada a gravidade, assumir possibilidade de abuso em ambientes não atualizados é prudente.
Repercussão / Próximos passos / Compliance
Administradores devem planejar atualização imediata para 9.11, revisar logs de restauração e verificar se foram feitos uploads suspeitos de SQL dump. Em ambiente regulado, ocorrências que levem à exposição ou modificação de dados pessoais podem necessitar avaliação para obrigações de notificação (ex.: LGPD). Documente e registre aplicação do patch no inventário de software e comunique equipes de SRE/DBA para exame de integridade dos hosts.
Fontes: análise da EndorLabs e notas de release do pgAdmin conforme cobertura do Cyber Security News.