Anmelden
Deutsch English Español Polski
Hoch

pgadmin4 vulnerable to Code Injection

  • Veröffentlicht: 13.12.2022
  • Aktualisiert: 11.10.2026 13:18

The pgAdmin server includes an HTTP API that is intended to be used to validate the path a user selects to external PostgreSQL utilities such as pg_dump and pg_restore. The utility is executed by the server to determine what PostgreSQL version it is from. Versions of pgAdmin prior to 6.17 failed to properly secure this API, which could allow an unauthenticated user to call it with a path of their choosing, such as a UNC path to a server they control on a Windows machine. This would cause an appropriately named executable in the target path to be executed by the pgAdmin server.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) pgadmin4 < 6.17 6.17

Verweise

CVSS-Wert 8.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-862, CWE-94
Plattform
Python (PyPI)
Paket
pgadmin4
Veröffentlicht
13.12.2022
Aktualisiert
11.10.2026 13:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-893 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-3v6v-2x6p-32mc - CC BY 4.0

Schwachstellenhistorie: pgadmin4

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (28) im Archiv
Einträge insgesamt
28
Erste → letzte
03.2022 05.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 14
  • Mittel 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. pgAdmin 4 contains local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities
    Hoch · 6.5 CVE-2026-7817 < 9.15 9.15
  2. SQL injection vulnerability in pgAdmin 4 Maintenance Tool
    Hoch · 8.8 CVE-2026-7815 < 9.15 9.15
  3. pgAdmin 4: OS command injection vulnerability in Import/Export query export
    Hoch · 8.8 CVE-2026-7816 < 9.15 9.15
  4. pgAdmin 4 File Manager has symbolic-link path traversal
    Hoch · 8.1 CVE-2026-7819 < 9.15 9.15
  5. pgAdmin 4 has deserialization of untrusted data in its FileBackedSessionManager
    Hoch · 7.0 CVE-2026-7818 < 9.15 9.15
  6. pgAdmin 4 server mode has an authorization vulnerability affecting Server Groups, Servers, Shared Servers, Background Processes, and Debugger modules
    Kritisch · 9.9 CVE-2026-7813 < 9.15 9.15
  7. pgadmin4 affected by a Restore restriction bypass via key disclosure vulnerability
    Hoch · 7.4 CVE-2026-1707 < 9.12 9.12
  8. pgadmin4 has a Meta-Command Filter Command Execution
    Kritisch · 9.1 CVE-2025-13780 < 9.11 9.11
  9. pgAdmin has vulnerability in LDAP authentication mechanism that allows bypassing TLS certificate verification
    Hoch · 7.5 CVE-2025-12765 < 9.10 9.10
  10. pgAdmin is affected by an LDAP injection vulnerability
    Hoch · 7.5 CVE-2025-12764 < 9.10 9.10
  11. pgAdmin4 vulnerable to Remote Code Execution (RCE) when running in server mode
    Kritisch · 9.1 CVE-2025-12762 < 9.10 9.10
  12. pgadmin4 is affected by a Cross-Origin Opener Policy (COOP) vulnerability
    Hoch · 7.9 CVE-2025-9636 < 9.8 9.8
  13. pgAdmin 4 Vulnerable to Remote Code Execution
    Kritisch · 9.9 CVE-2025-2945 < 9.2 9.2
  14. pgAdmin 4 Vulnerable to Cross-Site Scripting (XSS) via Query Result Rendering
    Kritisch · 9.1 CVE-2025-2946 < 9.2 9.2
  15. pgAdmin has Incorrect Default Permissions
    Hoch · 8.0 CVE-2023-1907 < 7.0 7.0
  16. OAuth2 client ID and secret exposed through the web browser
    Hoch · 8.6 CVE-2024-9014 < 8.12 8.12
  17. pgAdmin Cross-site Scripting vulnerability in /settings/store API response json payload
    Hoch · 7.4 CVE-2024-4216 < 8.6 8.6
  18. pgAdmin Remote Code Execution (RCE) vulnerability
    Hoch · 7.4 CVE-2024-3116 < 8.5 8.5
  19. pgAdmin 4 vulnerable to Unsafe Deserialization and Remote Code Execution by an Authenticated user
    Kritisch · 9.9 CVE-2024-2044 < 8.4 8.4
  20. pgadmin4 vulnerable to Code Injection dieser Eintrag
    Hoch · 8.8 CVE-2022-4223 < 6.17 6.17

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.