Anmelden
Deutsch English Español Polski
Mittel

pgAdmin 4: Stored cross-site scripting (XSS) vulnerability in Browser Tree and Explain Visualizer modules

  • Veröffentlicht: 11.05.2026
  • Aktualisiert: 11.10.2026 15:17

Stored cross-site scripting (XSS) vulnerability in pgAdmin 4 Browser Tree and Explain Visualizer modules.

User-controlled PostgreSQL object names (database, schema, table, column, etc.) were assigned to DOM elements via innerHTML, allowing crafted object names containing HTML markup to execute attacker-supplied JavaScript in the browser of any pgAdmin user who navigated to or executed EXPLAIN over the malicious object.

Fix replaces innerHTML with textContent.

This issue affects pgAdmin 4: before 9.15.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) pgadmin4 < 9.15 9.15

Verweise

CVSS-Wert 4.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Schwäche (CWE)
CWE-79
Plattform
Python (PyPI)
Paket
pgadmin4
Veröffentlicht
11.05.2026
Aktualisiert
11.10.2026 15:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2866 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-6p2c-69cv-3fxq - CC BY 4.0

Schwachstellenhistorie: pgadmin4

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (28) im Archiv
Einträge insgesamt
28
Erste → letzte
03.2022 05.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 14
  • Mittel 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. pgAdmin 4 contains local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities
    Hoch · 6.5 CVE-2026-7817 < 9.15 9.15
  2. SQL injection vulnerability in pgAdmin 4 Maintenance Tool
    Hoch · 8.8 CVE-2026-7815 < 9.15 9.15
  3. pgAdmin 4: OS command injection vulnerability in Import/Export query export
    Hoch · 8.8 CVE-2026-7816 < 9.15 9.15
  4. pgAdmin 4 File Manager has symbolic-link path traversal
    Hoch · 8.1 CVE-2026-7819 < 9.15 9.15
  5. pgAdmin 4: Stored cross-site scripting (XSS) vulnerability in Browser Tree and Explain Visualizer modules dieser Eintrag
    Mittel · 4.8 CVE-2026-7814 < 9.15 9.15
  6. pgAdmin 4 has deserialization of untrusted data in its FileBackedSessionManager
    Hoch · 7.0 CVE-2026-7818 < 9.15 9.15
  7. pgAdmin 4 server mode has an authorization vulnerability affecting Server Groups, Servers, Shared Servers, Background Processes, and Debugger modules
    Kritisch · 9.9 CVE-2026-7813 < 9.15 9.15
  8. pgadmin4 affected by a Restore restriction bypass via key disclosure vulnerability
    Hoch · 7.4 CVE-2026-1707 < 9.12 9.12
  9. pgadmin4 has a Meta-Command Filter Command Execution
    Kritisch · 9.1 CVE-2025-13780 < 9.11 9.11
  10. pgAdmin has vulnerability in LDAP authentication mechanism that allows bypassing TLS certificate verification
    Hoch · 7.5 CVE-2025-12765 < 9.10 9.10
  11. pgAdmin is affected by an LDAP injection vulnerability
    Hoch · 7.5 CVE-2025-12764 < 9.10 9.10
  12. pgAdmin4 vulnerable to Remote Code Execution (RCE) when running in server mode
    Kritisch · 9.1 CVE-2025-12762 < 9.10 9.10
  13. pgadmin4 is affected by a Cross-Origin Opener Policy (COOP) vulnerability
    Hoch · 7.9 CVE-2025-9636 < 9.8 9.8
  14. pgAdmin 4 Vulnerable to Remote Code Execution
    Kritisch · 9.9 CVE-2025-2945 < 9.2 9.2
  15. pgAdmin 4 Vulnerable to Cross-Site Scripting (XSS) via Query Result Rendering
    Kritisch · 9.1 CVE-2025-2946 < 9.2 9.2
  16. pgAdmin has Incorrect Default Permissions
    Hoch · 8.0 CVE-2023-1907 < 7.0 7.0
  17. OAuth2 client ID and secret exposed through the web browser
    Hoch · 8.6 CVE-2024-9014 < 8.12 8.12
  18. pgAdmin Cross-site Scripting vulnerability in /settings/store API response json payload
    Hoch · 7.4 CVE-2024-4216 < 8.6 8.6
  19. pgAdmin Remote Code Execution (RCE) vulnerability
    Hoch · 7.4 CVE-2024-3116 < 8.5 8.5
  20. pgAdmin 4 vulnerable to Unsafe Deserialization and Remote Code Execution by an Authenticated user
    Kritisch · 9.9 CVE-2024-2044 < 8.4 8.4
  21. pgadmin4 vulnerable to Code Injection
    Hoch · 8.8 CVE-2022-4223 < 6.17 6.17

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.