Multiples vulnérabilités affectant pgAdmin 4

pgAdmin est un outil de gestion et d'administration des bases de données PostgreSQL, offrant une interface graphique intuitive pour créer, modifier et superviser les bases. Il permet aux développeurs et administrateurs de gérer efficacement les objets, d'exécuter des requêtes SQL et de gérer les rôles, permissions et accès aux bases. Cet outil est affecté par plusieurs vulnérabilités libellées comme suit : CVE-2026-7813 : vulnérabilité résultant de contrôles d'accès insuffisants dans le mode serveur de pgAdmin 4, touchant les modules Server Groups, Servers, Shared Servers, Background Processes et Debugger. Son exploitation permettrait à un attaquant authentifié d'accéder aux serveurs et groupes privés d'autres utilisateurs en devinant les identifiants des objets, et d'exécuter des commandes arbitraires via le champ passexec_cmd des serveurs partagés. Elle est classée critique avec un score de sévérité de 9.9 selon le CVSS V3.1. CVE-2026-7814 : vulnérabilité due à une absence de validation et d'encodage des entrées lors de l'affichage des noms d'objets PostgreSQL dans le Browser Tree et l'Explain Visualizer. Son exploitation permettrait à un attaquant authentifié d'injecter et d'exécuter du code JavaScript arbitraire dans le navigateur d'autres utilisateurs. Elle est classée haute avec un score de sévérité de 7.6 selon le CVSS V3.1. CVE-2026-7815 : vulnérabilité due à une absence de validation des entrées dans les paramètres table, schema, maintenance_db et encoding de l'outil Maintenance. Son exploitation permettrait à un attaquant authentifié d'exécuter des requêtes SQL arbitraires avec les privilèges du processus pgAdmin sur le système affecté. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1. CVE-2026-7816 : vulnérabilité due à une absence de validation et d'assainissement des entrées dans la fonctionnalité Import/Export. Son exploitation permettrait à un attaquant authentifié d'injecter et d'exécuter des commandes système arbitraires sur le serveur hébergeant pgAdmin. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1. CVE-2026-7817 : vulnérabilité due à une absence de validation des URL fournies aux points d'accès de configuration de l'API LLM. Son exploitation permettrait à un attaquant authentifié de lire des fichiers arbitraires sur le serveur (LFI) ou de forcer pgAdmin à émettre des requêtes vers des ressources internes. Elle est classée moyenne avec un score de sévérité de 6.5 selon le CVSS V3.1. CVE-2026-7818 : vulnérabilité due à une désérialisation non sécurisée dans le gestionnaire de sessions. Son exploitation permettrait à un attaquant authentifié de forger un fichier de session malveillant afin d'exécuter du code arbitraire à distance sur le système affecté. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1. CVE-2026-7819 : vulnérabilité due à une absence de contrôle lors de la résolution des liens symboliques dans le gestionnaire de fichiers de pgAdmin. Son exploitation permettrait à un attaquant authentifié d'accéder à des fichiers arbitraires situés en dehors des répertoires autorisés. Elle est classée haute avec un score de sévérité de 7.7 selon le CVSS V3.1. CVE-2026-7820 : vulnérabilité due à l'absence de mécanisme de limitation du nombre de tentatives de connexion dans la vue de connexion Flask-Security. Son exploitation permettrait à un acteur malveillant non authentifié de tenter un nombre illimité de connexions sur un compte verrouillé, ouvrant la voie à des attaques par force brute. Elle est classée moyenne avec un score de sévérité de 5.3 selon le CVSS V3.1.

• Toutes les versions de pgAdmin 4 antérieures à la version 9.15.