Anmelden
Deutsch English Español Polski
Hoch

pgAdmin 4 contains local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities

  • Veröffentlicht: 11.05.2026
  • Aktualisiert: 11.10.2026 15:17

Local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities in pgAdmin 4 LLM API configuration endpoints.

User-supplied api_key_file and api_url preferences were passed to the LLM provider clients without validation. An authenticated user could read arbitrary server-side files by pointing api_key_file at any path readable by the pgAdmin process, or coerce pgAdmin into making requests to internal targets (e.g. cloud metadata services such as 169.254.169.254) by setting api_url, exploiting the chat path and model-list endpoints.

Fix restricts api_key_file to the user's private storage (server mode) or home directory (desktop mode), enforces a printable-ASCII key shape and a 1024-byte read cap, and gates api_url against a configurable allow-list (config.ALLOWED_LLM_API_URLS) at every entry point.

This issue affects pgAdmin 4: before 9.15.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) pgadmin4 < 9.15 9.15

Verweise

CVSS-Wert 6.5/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE)
CWE-552
Plattform
Python (PyPI)
Paket
pgadmin4
Veröffentlicht
11.05.2026
Aktualisiert
11.10.2026 15:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2871 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-p58c-q354-6c4f - CC BY 4.0

Schwachstellenhistorie: pgadmin4

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (28) im Archiv
Einträge insgesamt
28
Erste → letzte
03.2022 05.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 14
  • Mittel 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. pgAdmin 4 contains local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities dieser Eintrag
    Hoch · 6.5 CVE-2026-7817 < 9.15 9.15
  2. SQL injection vulnerability in pgAdmin 4 Maintenance Tool
    Hoch · 8.8 CVE-2026-7815 < 9.15 9.15
  3. pgAdmin 4: OS command injection vulnerability in Import/Export query export
    Hoch · 8.8 CVE-2026-7816 < 9.15 9.15
  4. pgAdmin 4 File Manager has symbolic-link path traversal
    Hoch · 8.1 CVE-2026-7819 < 9.15 9.15
  5. pgAdmin 4 has deserialization of untrusted data in its FileBackedSessionManager
    Hoch · 7.0 CVE-2026-7818 < 9.15 9.15
  6. pgAdmin 4 server mode has an authorization vulnerability affecting Server Groups, Servers, Shared Servers, Background Processes, and Debugger modules
    Kritisch · 9.9 CVE-2026-7813 < 9.15 9.15
  7. pgadmin4 affected by a Restore restriction bypass via key disclosure vulnerability
    Hoch · 7.4 CVE-2026-1707 < 9.12 9.12
  8. pgadmin4 has a Meta-Command Filter Command Execution
    Kritisch · 9.1 CVE-2025-13780 < 9.11 9.11
  9. pgAdmin has vulnerability in LDAP authentication mechanism that allows bypassing TLS certificate verification
    Hoch · 7.5 CVE-2025-12765 < 9.10 9.10
  10. pgAdmin is affected by an LDAP injection vulnerability
    Hoch · 7.5 CVE-2025-12764 < 9.10 9.10
  11. pgAdmin4 vulnerable to Remote Code Execution (RCE) when running in server mode
    Kritisch · 9.1 CVE-2025-12762 < 9.10 9.10
  12. pgadmin4 is affected by a Cross-Origin Opener Policy (COOP) vulnerability
    Hoch · 7.9 CVE-2025-9636 < 9.8 9.8
  13. pgAdmin 4 Vulnerable to Remote Code Execution
    Kritisch · 9.9 CVE-2025-2945 < 9.2 9.2
  14. pgAdmin 4 Vulnerable to Cross-Site Scripting (XSS) via Query Result Rendering
    Kritisch · 9.1 CVE-2025-2946 < 9.2 9.2
  15. pgAdmin has Incorrect Default Permissions
    Hoch · 8.0 CVE-2023-1907 < 7.0 7.0
  16. OAuth2 client ID and secret exposed through the web browser
    Hoch · 8.6 CVE-2024-9014 < 8.12 8.12
  17. pgAdmin Cross-site Scripting vulnerability in /settings/store API response json payload
    Hoch · 7.4 CVE-2024-4216 < 8.6 8.6
  18. pgAdmin Remote Code Execution (RCE) vulnerability
    Hoch · 7.4 CVE-2024-3116 < 8.5 8.5
  19. pgAdmin 4 vulnerable to Unsafe Deserialization and Remote Code Execution by an Authenticated user
    Kritisch · 9.9 CVE-2024-2044 < 8.4 8.4
  20. pgadmin4 vulnerable to Code Injection
    Hoch · 8.8 CVE-2022-4223 < 6.17 6.17

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.