PT-2026-39628 · Pgadmin 4+1 · Pgadmin 4+1

Fernando Bortotti · Publicado 2026-05-11 · Atualizado 2026-05-26 · CVE-2026-7818

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas pgAdmin 4 versões anteriores a 9.15

Descrição O FileBackedSessionManager no pgAdmin 4 realiza a desserialização insegura de conteúdos de arquivos de sessão usando o módulo de serialização de objetos padrão do Python antes de realizar uma verificação de integridade HMAC. Isso permite que qualquer arquivo colocado no diretório de sessões seja desserializado incondicionalmente. Um usuário autenticado com acesso de gravação ao diretório de sessões, potencialmente por meio de configuração incorreta ou de uma falha de path-traversal, poderia usar um payload serializado manipulado para alcançar a execução remota de código no nível do sistema operacional sob a identidade do processo pgAdmin.

Recomendações Atualize para a versão 9.15 ou posterior.

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-7818

GHSA-4RHG-H8F2-V4JM

Produtos afetados

Pgadmin

Pgadmin 4

Referências · 8

• https://github.com/pgadmin-org/pgadmin4/issues/9901 · Aviso do Fabricante
• https://github.com/pgadmin-org/pgadmin4 · Nota
• https://github.com/pgadmin-org/pgadmin4/commit/30a890337 · Nota
• https://twitter.com/CVEnew/status/2053954467360354783 · Publicação no Twitter
• https://t.me/cveNotify/164679 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-7818 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2053892594942235043 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-4rhg-h8f2-v4jm · Aviso do Fabricante