Anmelden
Deutsch English Español Polski
Kritisch

pgAdmin 4 Vulnerable to Remote Code Execution

  • Veröffentlicht: 03.04.2025
  • Aktualisiert: 11.10.2026 12:20

Remote Code Execution security vulnerability in pgAdmin 4 (Query Tool and Cloud Deployment modules).

The vulnerability is associated with the 2 POST endpoints; /sqleditor/query_tool/download, where the query_commited parameter and /cloud/deploy endpoint, where the high_availability parameter is unsafely passed to the Python eval() function, allowing arbitrary code execution.

This issue affects pgAdmin 4: before 9.2.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) pgadmin4 < 9.2 9.2

Verweise

CVSS-Wert 9.9/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Schwäche (CWE)
CWE-94
Plattform
Python (PyPI)
Paket
pgadmin4
Veröffentlicht
03.04.2025
Aktualisiert
11.10.2026 12:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-g73c-fw68-pwx3 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-451 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: pgadmin4

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (28) im Archiv
Einträge insgesamt
28
Erste → letzte
03.2022 05.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 14
  • Mittel 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. pgAdmin 4 contains local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities
    Hoch · 6.5 CVE-2026-7817 < 9.15 9.15
  2. SQL injection vulnerability in pgAdmin 4 Maintenance Tool
    Hoch · 8.8 CVE-2026-7815 < 9.15 9.15
  3. pgAdmin 4: OS command injection vulnerability in Import/Export query export
    Hoch · 8.8 CVE-2026-7816 < 9.15 9.15
  4. pgAdmin 4 File Manager has symbolic-link path traversal
    Hoch · 8.1 CVE-2026-7819 < 9.15 9.15
  5. pgAdmin 4 has deserialization of untrusted data in its FileBackedSessionManager
    Hoch · 7.0 CVE-2026-7818 < 9.15 9.15
  6. pgAdmin 4 server mode has an authorization vulnerability affecting Server Groups, Servers, Shared Servers, Background Processes, and Debugger modules
    Kritisch · 9.9 CVE-2026-7813 < 9.15 9.15
  7. pgadmin4 affected by a Restore restriction bypass via key disclosure vulnerability
    Hoch · 7.4 CVE-2026-1707 < 9.12 9.12
  8. pgadmin4 has a Meta-Command Filter Command Execution
    Kritisch · 9.1 CVE-2025-13780 < 9.11 9.11
  9. pgAdmin has vulnerability in LDAP authentication mechanism that allows bypassing TLS certificate verification
    Hoch · 7.5 CVE-2025-12765 < 9.10 9.10
  10. pgAdmin is affected by an LDAP injection vulnerability
    Hoch · 7.5 CVE-2025-12764 < 9.10 9.10
  11. pgAdmin4 vulnerable to Remote Code Execution (RCE) when running in server mode
    Kritisch · 9.1 CVE-2025-12762 < 9.10 9.10
  12. pgadmin4 is affected by a Cross-Origin Opener Policy (COOP) vulnerability
    Hoch · 7.9 CVE-2025-9636 < 9.8 9.8
  13. pgAdmin 4 Vulnerable to Remote Code Execution dieser Eintrag
    Kritisch · 9.9 CVE-2025-2945 < 9.2 9.2
  14. pgAdmin 4 Vulnerable to Cross-Site Scripting (XSS) via Query Result Rendering
    Kritisch · 9.1 CVE-2025-2946 < 9.2 9.2
  15. pgAdmin has Incorrect Default Permissions
    Hoch · 8.0 CVE-2023-1907 < 7.0 7.0
  16. OAuth2 client ID and secret exposed through the web browser
    Hoch · 8.6 CVE-2024-9014 < 8.12 8.12
  17. pgAdmin Cross-site Scripting vulnerability in /settings/store API response json payload
    Hoch · 7.4 CVE-2024-4216 < 8.6 8.6
  18. pgAdmin Remote Code Execution (RCE) vulnerability
    Hoch · 7.4 CVE-2024-3116 < 8.5 8.5
  19. pgAdmin 4 vulnerable to Unsafe Deserialization and Remote Code Execution by an Authenticated user
    Kritisch · 9.9 CVE-2024-2044 < 8.4 8.4
  20. pgadmin4 vulnerable to Code Injection
    Hoch · 8.8 CVE-2022-4223 < 6.17 6.17

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.