漏洞概述
phpPgAdmin 7.13.0 版本中存在一个远程命令执行漏洞（CVE-2021-47853），允许经过身份验证的攻击者通过 SQL 查询操控，利用数据库的 COPY FROM PROGRAM 功能执行任意操作系统命令，从而在目标系统上获得与应用程序相同权限的远程代码执行能力。
漏洞详情
- CVE 编号：CVE-2021-47853
- 漏洞类型：CWE-78（操作系统命令注入）
- CVSS 评分：CVSS v3.1 基础评分为 8.8（HIGH）；CVSS v4.0 基础评分为 8.6（HIGH）
- 影响版本：phpPgAdmin 7.13.0
影响范围
该漏洞影响使用 phpPgAdmin 7.13.0 版本并启用了 PostgreSQL 的 COPY FROM PROGRAM 功能的系统。攻击者需具备有效的数据库账户登录权限，才能利用此漏洞。
风险分析
成功利用此漏洞的攻击者可在目标服务器上以 phpPgAdmin 应用程序的权限执行任意系统命令，可能导致服务器被完全控制、敏感数据泄露、服务中断或作为进一步内网渗透的跳板。由于攻击复杂度低且无需用户交互，一旦攻击者获得低权限账户，即可造成严重后果。
修复建议
- 立即升级至 phpPgAdmin 官方发布的安全版本（参考官方 GitHub 发布页面）。
- 如无法立即升级，建议禁用 PostgreSQL 中的 COPY FROM PROGRAM 功能，或限制数据库用户的权限，禁止其执行危险的 SQL 命令。
