深入剖析CVE-2025-13780：pgAdmin 4严重远程代码执行漏洞

原创

qife122

发布于 2026-01-03 06:20:08

1450

文章被收录于专栏：网络安全技术点滴分享网络安全技术点滴分享

🚨 CVE-2025-13780 “pgAdmin 4中的严重远程代码执行漏洞”

严重性： 🔴 严重 CVSS v3.1： 9.1 / 10 攻击类型： 远程代码执行（RCE） 状态： 已修复

🎯 受影响软件

组件	状态
产品	pgAdmin 4
受影响版本	≤ 9.10
已修复版本	9.11+
部署模式	服务器模式
恢复类型	PLAIN 格式 SQL 转储

🔐 影响范围

领域	影响
🖥️ 主机系统	命令执行
🗄️ 数据库	可能被完全控制
🔑 权限提升	可能性存在
🌐 攻击向量	网络
👤 所需权限	低
🧍 用户交互	无

🛡️ 缓解与修复方案

✅ 立即行动

升级到 pgAdmin 4 v9.11 或更高版本
在可能的情况下，禁用或限制 PLAIN 格式恢复

🔒 安全加固

在受限环境中运行 pgAdmin
应用最小权限原则
监控恢复活动并审计日志

🧠 厂商修复方案

pgAdmin 已将正则表达式过滤替换为 psql 限制模式
元命令现在在解释器层面被阻止

--------- | ------------ |

| Red Hat | 不受影响 |

| Ubuntu | 不受影响 |

⚠️ 此评估仅适用于操作系统打包的版本。 独立安装或上游的 pgAdmin 安装可能仍然存在漏洞。

📝 总结

CVE-2025-13780 是一个教科书般的案例，说明了为什么输入过滤不能作为安全边界。
如果您在服务器模式下运行 pgAdmin 4 并允许进行 SQL 恢复，那么升级是必须的。
6HFtX5dABrKlqXeO5PUv/ydjQZDJ7Ct83xG1NG8fcAPQgo3KMeXD8NcesQxEHBs7

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

风险识别 RCE