Zaloguj się
Deutsch English Español Polski
Wysoka

pgAdmin 4 contains local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities

  • Ujawniono: 11.05.2026
  • Aktualizacja: 11.10.2026 15:17

Local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities in pgAdmin 4 LLM API configuration endpoints.

User-supplied api_key_file and api_url preferences were passed to the LLM provider clients without validation. An authenticated user could read arbitrary server-side files by pointing api_key_file at any path readable by the pgAdmin process, or coerce pgAdmin into making requests to internal targets (e.g. cloud metadata services such as 169.254.169.254) by setting api_url, exploiting the chat path and model-list endpoints.

Fix restricts api_key_file to the user's private storage (server mode) or home directory (desktop mode), enforces a printable-ASCII key shape and a 1024-byte read cap, and gates api_url against a configurable allow-list (config.ALLOWED_LLM_API_URLS) at every entry point.

This issue affects pgAdmin 4: before 9.15.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) pgadmin4 < 9.15 9.15

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-552
Platforma
Python (PyPI)
Paczka
pgadmin4
Ujawniono
11.05.2026
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2871 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-p58c-q354-6c4f - CC BY 4.0

Historia podatności: pgadmin4

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (28) w archiwum
Wszystkich wpisów
28
Pierwsza → ostatnia
03.2022 05.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 14
  • Średnia 8

Ujawnienia w latach

Istotność:
  1. pgAdmin 4 contains local file inclusion (LFI) and server-side request forgery (SSRF) vulnerabilities ten wpis
    Wysoka · 6.5 CVE-2026-7817 < 9.15 9.15
  2. SQL injection vulnerability in pgAdmin 4 Maintenance Tool
    Wysoka · 8.8 CVE-2026-7815 < 9.15 9.15
  3. pgAdmin 4: OS command injection vulnerability in Import/Export query export
    Wysoka · 8.8 CVE-2026-7816 < 9.15 9.15
  4. pgAdmin 4 File Manager has symbolic-link path traversal
    Wysoka · 8.1 CVE-2026-7819 < 9.15 9.15
  5. pgAdmin 4 has deserialization of untrusted data in its FileBackedSessionManager
    Wysoka · 7.0 CVE-2026-7818 < 9.15 9.15
  6. pgAdmin 4 server mode has an authorization vulnerability affecting Server Groups, Servers, Shared Servers, Background Processes, and Debugger modules
    Krytyczna · 9.9 CVE-2026-7813 < 9.15 9.15
  7. pgadmin4 affected by a Restore restriction bypass via key disclosure vulnerability
    Wysoka · 7.4 CVE-2026-1707 < 9.12 9.12
  8. pgadmin4 has a Meta-Command Filter Command Execution
    Krytyczna · 9.1 CVE-2025-13780 < 9.11 9.11
  9. pgAdmin has vulnerability in LDAP authentication mechanism that allows bypassing TLS certificate verification
    Wysoka · 7.5 CVE-2025-12765 < 9.10 9.10
  10. pgAdmin is affected by an LDAP injection vulnerability
    Wysoka · 7.5 CVE-2025-12764 < 9.10 9.10
  11. pgAdmin4 vulnerable to Remote Code Execution (RCE) when running in server mode
    Krytyczna · 9.1 CVE-2025-12762 < 9.10 9.10
  12. pgadmin4 is affected by a Cross-Origin Opener Policy (COOP) vulnerability
    Wysoka · 7.9 CVE-2025-9636 < 9.8 9.8
  13. pgAdmin 4 Vulnerable to Remote Code Execution
    Krytyczna · 9.9 CVE-2025-2945 < 9.2 9.2
  14. pgAdmin 4 Vulnerable to Cross-Site Scripting (XSS) via Query Result Rendering
    Krytyczna · 9.1 CVE-2025-2946 < 9.2 9.2
  15. pgAdmin has Incorrect Default Permissions
    Wysoka · 8.0 CVE-2023-1907 < 7.0 7.0
  16. OAuth2 client ID and secret exposed through the web browser
    Wysoka · 8.6 CVE-2024-9014 < 8.12 8.12
  17. pgAdmin Cross-site Scripting vulnerability in /settings/store API response json payload
    Wysoka · 7.4 CVE-2024-4216 < 8.6 8.6
  18. pgAdmin Remote Code Execution (RCE) vulnerability
    Wysoka · 7.4 CVE-2024-3116 < 8.5 8.5
  19. pgAdmin 4 vulnerable to Unsafe Deserialization and Remote Code Execution by an Authenticated user
    Krytyczna · 9.9 CVE-2024-2044 < 8.4 8.4
  20. pgadmin4 vulnerable to Code Injection
    Wysoka · 8.8 CVE-2022-4223 < 6.17 6.17

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.