Anmelden
Deutsch English Español Polski
Kritisch

pgadmin4 has a Meta-Command Filter Command Execution

  • Veröffentlicht: 11.12.2025
  • Aktualisiert: 11.10.2026 12:20

The PLAIN restore meta-command filter introduced in pgAdmin as part of the fix for CVE-2025-12762 does not detect meta-commands when a SQL file begins with a UTF-8 Byte Order Mark (EF BB BF) or other special byte sequences. The implemented filter uses the function has_meta_commands(), which scans raw bytes using a regular expression. The regex does not treat the bytes as ignorable, so meta-commands such as \\! remain undetected. When pgAdmin invokes psql with --file, psql strips the bytes and executes the command. This can result in remote command execution during a restore operation.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) pgadmin4 < 9.11 9.11

Verweise

CVSS-Wert 9.1/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L
Schwäche (CWE)
CWE-77, CWE-94
Plattform
Python (PyPI)
Paket
pgadmin4
Veröffentlicht
11.12.2025
Aktualisiert
11.10.2026 12:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-fxmw-jcgr-w44v - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-450 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: pgadmin4

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (28) im Archiv
Einträge insgesamt
28
Erste → letzte
03.2022 05.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 14
  • Mittel 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. pgAdmin 4 contains local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities
    Hoch · 6.5 CVE-2026-7817 < 9.15 9.15
  2. SQL injection vulnerability in pgAdmin 4 Maintenance Tool
    Hoch · 8.8 CVE-2026-7815 < 9.15 9.15
  3. pgAdmin 4: OS command injection vulnerability in Import/Export query export
    Hoch · 8.8 CVE-2026-7816 < 9.15 9.15
  4. pgAdmin 4 File Manager has symbolic-link path traversal
    Hoch · 8.1 CVE-2026-7819 < 9.15 9.15
  5. pgAdmin 4 has deserialization of untrusted data in its FileBackedSessionManager
    Hoch · 7.0 CVE-2026-7818 < 9.15 9.15
  6. pgAdmin 4 server mode has an authorization vulnerability affecting Server Groups, Servers, Shared Servers, Background Processes, and Debugger modules
    Kritisch · 9.9 CVE-2026-7813 < 9.15 9.15
  7. pgadmin4 affected by a Restore restriction bypass via key disclosure vulnerability
    Hoch · 7.4 CVE-2026-1707 < 9.12 9.12
  8. pgadmin4 has a Meta-Command Filter Command Execution dieser Eintrag
    Kritisch · 9.1 CVE-2025-13780 < 9.11 9.11
  9. pgAdmin has vulnerability in LDAP authentication mechanism that allows bypassing TLS certificate verification
    Hoch · 7.5 CVE-2025-12765 < 9.10 9.10
  10. pgAdmin is affected by an LDAP injection vulnerability
    Hoch · 7.5 CVE-2025-12764 < 9.10 9.10
  11. pgAdmin4 vulnerable to Remote Code Execution (RCE) when running in server mode
    Kritisch · 9.1 CVE-2025-12762 < 9.10 9.10
  12. pgadmin4 is affected by a Cross-Origin Opener Policy (COOP) vulnerability
    Hoch · 7.9 CVE-2025-9636 < 9.8 9.8
  13. pgAdmin 4 Vulnerable to Remote Code Execution
    Kritisch · 9.9 CVE-2025-2945 < 9.2 9.2
  14. pgAdmin 4 Vulnerable to Cross-Site Scripting (XSS) via Query Result Rendering
    Kritisch · 9.1 CVE-2025-2946 < 9.2 9.2
  15. pgAdmin has Incorrect Default Permissions
    Hoch · 8.0 CVE-2023-1907 < 7.0 7.0
  16. OAuth2 client ID and secret exposed through the web browser
    Hoch · 8.6 CVE-2024-9014 < 8.12 8.12
  17. pgAdmin Cross-site Scripting vulnerability in /settings/store API response json payload
    Hoch · 7.4 CVE-2024-4216 < 8.6 8.6
  18. pgAdmin Remote Code Execution (RCE) vulnerability
    Hoch · 7.4 CVE-2024-3116 < 8.5 8.5
  19. pgAdmin 4 vulnerable to Unsafe Deserialization and Remote Code Execution by an Authenticated user
    Kritisch · 9.9 CVE-2024-2044 < 8.4 8.4
  20. pgadmin4 vulnerable to Code Injection
    Hoch · 8.8 CVE-2022-4223 < 6.17 6.17

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.