PT-2026-39629 · Pgadmin 4+1 · Pgadmin 4+1

Fernando Bortotti · Publicado 2026-05-11 · Atualizado 2026-05-11 · CVE-2026-7819

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas pgAdmin 4 versões anteriores a 9.15

Descrição Um problema de travessia de caminho via link simbólico existe no Gerenciador de Arquivos do pgAdmin 4. A função check access permission() utilizava os.path.abspath, que resolve referências de diretórios pai ('..'), mas não resolve links simbólicos. Como a operação de gravação subsequente do kernel segue links simbólicos, um usuário autenticado pode criar um link simbólico em seu diretório de armazenamento apontando para um local fora dele. Isso permite que o usuário induza o pgAdmin a gravar em qualquer caminho acessível pelo processo do pgAdmin. Trata-se de uma falha de Time-of-Check to Time-of-Use (TOCTOU), onde existe uma condição de corrida entre a verificação de acesso e a abertura real do arquivo.

Recomendações Atualize para a versão 9.15 ou posterior.

Correção

Enumeração de Fraquezas

CWE-61

Identificadores relacionados

CVE-2026-7819

GHSA-HR4R-FWPV-C95J

Produtos afetados

Pgadmin

Pgadmin 4

Referências · 6

• https://github.com/pgadmin-org/pgadmin4/issues/9902 · Aviso do Fabricante
• https://github.com/pgadmin-org/pgadmin4 · Nota
• https://github.com/pgadmin-org/pgadmin4/commit/435752b83 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-7819 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hr4r-fwpv-c95j · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2053954466345365897 · Publicação no Twitter