PT-2026-39625 · Pgadmin 4+2 · Pgadmin 4+2

J3Seer · Publicado 2026-05-11 · Atualizado 2026-05-26 · CVE-2026-7815

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas pgAdmin 4 versões anteriores a 9.15

Descrição Uma injeção de SQL existe na Ferramenta de Manutenção onde quatro campos JSON fornecidos pelo usuário—buffer usage limit, vacuum parallel, vacuum index cleanup e reindex tablespace—são concatenados diretamente no comando VACUUM, ANALYZE ou REINDEX renderizado e passados para psql --command. Um usuário autenticado com a permissão tools maintenance pode romper a sintaxe da opção para executar SQL arbitrário no servidor PostgreSQL conectado. Isso pode levar a a execução de comandos do sistema operacional no host do banco de dados ao invocar o comando COPY ... TO PROGRAM.

Recomendações Atualize para a versão 9.15 ou posterior.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-7815

GHSA-HP84-P2GQ-6FVR

Produtos afetados

Pgadmin

Postgresql

Pgadmin 4

Referências · 8

• https://github.com/pgadmin-org/pgadmin4/issues/9898 · Aviso do Fabricante
• https://github.com/pgadmin-org/pgadmin4/commit/cf53953d9 · Nota
• https://github.com/pgadmin-org/pgadmin4 · Nota
• https://twitter.com/VulmonFeeds/status/2053902834169524529 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2053954470308991333 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-hp84-p2gq-6fvr · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-7815 · Nota de Segurança
• https://t.me/cveNotify/164683 · Publicação no Telegram