PostgreSQL管理ツール「pgAdmin4」のサーバーモードで、認可不備を突いて他ユーザー権限でコマンド実行に至る脆弱性を含む8件のCVEが修正されています。最も深刻なCVE-2026-7813では、複数のエンドポイントがリクエスト元ユーザーでフィルタリングを行っておらず、オブジェクトIDの推測だけで他ユーザーのプライベートサーバーやバックグラウンドプロセスにアクセス可能だったとのこと。
さらに共有サーバー機能では接続確立時に実行されるシェルコマンドフィールドへの書込みが可能で、サーバーオーナー権限での任意コマンド実行にまで至りうると報告されています。
pgAdmin4の利用環境ではv9.15へのアップデートが推奨されています。
【要点の整理】
・CVE-2026-7816：エクスポートツールのcopyコマンドテンプレートにユーザー入力が未サニタイズで挿入され、OSコマンド実行が可能。CVE-2026-7815ではメンテナンスツールのJSONフィールドがSQLコマンドに直接結合され、SQLインジェクションに至りうる問題
・CVE-2026-7818：セッションマネージャが整合性検証の前にデシリアライズを実行しており、セッションディレクトリへ書込み可能な条件下でRCEに至りうる問題。修正ではFernet暗号化やダイジェストのSHA-256移行も実施されたとのこと
・CVE-2026-7820：pgAdmin本体のログインページはロックアウトを実装していたが、Flask-Securityのデフォルト/loginエンドポイントがロックアウトを無視しており、INTERNAL認証アカウントに対して無制限のパスワード推測が可能だった問題
・CVE-2026-7817：LLM API設定のファイルパスとURL検証不備でサーバー上のファイル読取りやSSRFが可能。CVE-2026-7819ではファイルマネージャのシンボリックリンクによるパストラバーサルも修正
・対象はv9.15より前のバージョン（影響範囲はCVEにより異なる）。修正では新たなアクセス制御モジュールの導入や入力値の厳格な検証が導入されたと発表
詳細は以下を参照：
postgresql.org/about/news/pg…
3
20
1,568
Apr 27
احسن خطوه عملتها انا بقالى حوالى ٦ شهور ومندمتش لحظه بالعكس كنت اتمنى اكون نزلت لينكس من بدرى
بديل vs هو rider واحسن من vs بمراحل
بالنسبه لsql فنا بستخدم بوستجريس احسن بكتير وتقدر تنزل pgadmin4 أو ممكن تنزل azure studio وتشغل منه sql server لانه مش بينزل بشكل مباشر على اوبنتو
13
1
50
3,967
Apr 2
Workflow Level-Up: #Day_4 was all about connecting the dots and the databases.
What I did:
-Linked pgAdmin4 to VS Code,no more switching windows!
-Created the "Packaging Store" database.
-Mastered Schema changes (Renaming columns).
-Advanced Querying: Using LIKE for search and ORDER BY for pricing.
Today’s "Aha!" Moment:
The % wildcard in SQL is like a superpower for search bars.
LIKE '%tape%' finds every roll in the store in seconds.
Next up: Relationships and Joins. The "Relational" part of RDBMS is calling.
#PostgreSQL #SQL #BuildInPublic #BackendDev #LearningJourney
Apr 1
#Day_3 of my SQL journey: The CRUD Practice 3 TIPS
Bieng a web dev, you don't need to know every SQL command. You just need to master CRUD.
The Breakdown:
-CREATE: INSERT INTO users (name) VALUES ('Gemini');
-READ: SELECT * FROM users;
-UPDATE: UPDATE users SET status = 'Active' WHERE id = 1;
-DELETE: DELETE FROM users WHERE id = 1;
3 Tips for your CRUD Practice today
-Dry Run Rule: Before you run a DELETE or UPDATE query, run it as a SELECT first. If the SELECT shows the right rows, then change it to the destructive command.
-Comparison Note: While you practice, notice that PostgreSQL uses SERIAL for auto-incrementing IDs, while MySQL uses AUTO_INCREMENT.
Little nuances like this make great "Did you know?" posts.
-Constraint Awareness: Try to delete a row that is linked to another table (a Foreign Key).
Watch it fail. Understanding why it fails is a huge level-up in database design.
#SQL #BuildInPublic #CodeNewbie #WebDev
1
3
72
1
3
138
Jan 17
Currently trying to run a query on postgresql using pgAdmin4 and I'm getting this error, I got the datasets from Baraa on YouTube and it's supposed to be correct, I don't know why I'm getting this error..
I will appreciate all insights on why I'm getting this..
1
1
4
1,877
ביום חמישי שלחתי את קלוד קוד לבצע משימת דבאופס המתאימה לאיש/אשת דבאופס mid - לכתוב קוד טרפורם שמרים pgadmin4 בעזרת helm ומקנפג אותו מול CloudSQL.
הוא אמנם עשה את זה ב 2 דקות כשזה היה לוקח למישהו שעה-שעתיים ככה...
... אבל הוא עשה כמה וכמה טעויות וזה לא עבד בלי עזרה.
4
2
504
Top 5 most-viewed Censys Research advisories on X in 2025:
1. #React2Shell CVE-2025-55182 censys.com/advisory/cve-2025…
2/ #pgAdmin4 CVE-2025-12762 censys.com/advisory/cve-2025…
3. #n8n CVE-2025-68613 censys.com/advisory/cve-2025…
4. FortiWeb CVE-2025-64446 censys.com/advisory/cve-2025…
1
10
790
27 Dec 2025
pgadmin4 is such an utterly dogshit name for your application. get real
7
447
18 Dec 2025
Security Thread Wednesday: Critical pgAdmin RCE Vulnerability
A severe Remote Code Execution (RCE) flaw affects pgAdmin4 (up to v9.9). Attackers can inject and execute arbitrary commands via malicious PostgreSQL dump files in server mode.
Severity: Critical (CVSS 9.1–9.9)
1
2
25
15 Dec 2025
🚨🚨 CVE-2025-13780 (CVSS: 9.1): pgAdmin4 Meta-Command Filter Command Execution
pgAdmin 4 < 9.11 fails to detect meta-commands when a SQL file starts with UTF-8 BOM, leading to remote command execution during restore.
🔥 PoC: github.com/zeropwn/pgadmin4-…
Search by vul.cve Filter👉vul.cve="CVE-2025-13780"
ZoomEye Dork👉app="pgAdmin4"
41.2k exposed instances.
ZoomEye Link: zoomeye.ai/searchResult?q=YX…
Refer:
1. github.com/pgadmin-org/pgadm…
2. hub.zoomeye.ai/detail/693f6e…
#RCE #ZoomEye #cybersecurity #infosec #OSINT
3
46
178
14,395
12 Dec 2025
GitHub - zeropwn/pgadmin4-9.10-CVE-2025-13780: Proof of concept for CVE-2025-13780 - github.com/zeropwn/pgadmin4-…
5
14
2,242
in november, i reported an RCE that bypassed the patch for CVE-2025-12762 in versions 9.10 of pgadmin4. it has now been patched in the latest release 9.11 and tracked as CVE-2025-13780
github.com/pgadmin-org/pgadm…
1
8
659
11 Dec 2025
Diving into SQL💻, Launching PGadmin4 from my Launchpad
1
7
128
11 Dec 2025
🚨 New post: “Apache Tika XXE pgAdmin4 RCE –
When Your Parsers & Backups Betray You”
Tika XXE (CVE‑2025‑66516, CVSS 10.0) via malicious docs
pgAdmin4 RCE (CVE‑2025‑12762) via PLAIN dump restores
Read:jmfg.ca/security-bulletin/de…
2
4
101
🚨 A new pgAdmin4 vulnerability, CVE-2025-12762 (CVSS 9.8), allows for RCE in server mode when restoring PLAIN-format dump files. This flaw carries the potential for full system compromise.
🔴 We detect 7,393 instances of potentially exposed hosts at time of writing.
🔴 Versions 9.9 and earlier are affected.
🔴 Patch available: upgrade to pgAdmin4 version 9.10 (or later).
👉 More info in the full advisory: hubs.ly/Q03X3_SK0
3
62
331
26,089
17 Nov 2025
Just completed a new Data Analytics project using PostgreSQL Power BI!
I analyzed a supermarket sales dataset to uncover insights in 3 key areas:
1. Product Performance
*Food & Beverages leads with $58K sales
* Health & Beauty underperforms
*Profitability varies by branch
➡️ Recommendation: Boost inventory & marketing for high-performing categories.
2. Profitability
*All branches show a 16.6% margin
*Food & Beverages drives the most profit
* Branch C contributes 34.2% of total profit
➡️ Recommendation: Apply branch-level pricing & cost optimization.
3. Operational Efficiency
* 7 PM is peak hour
*Saturday is the busiest day
➡️ Recommendation: Optimize staff scheduling around peak periods.
Tools: PostgreSQL (pgAdmin4) Power BI
SQL • Data Modeling • DAX • Dashboard Design
Proud of this one. More projects loading… 🔥
#DataAnalytics #PowerBI #SQL #BusinessIntelligence
2
2
68
おはようございます
SQLの動画教材も終盤なので気合い入れて頑張ります。SQLにも関数があるんだと初めて知り、ワクワクしながら学習を進めてます。
正直、教材で紹介されるツールをあまり使いこなせず次いくからもったいない。pgAdmin4は使いこなしたいなぁ。
#HappinessChain
1
9
76
17 Nov 2025
🚨🚨CVE-2025-12762 (CVSS 9.1): Critical pgAdmin4 RCE
pgAdmin4 server mode plain backup restore = instant RCE
Search by vul.cve Filter👉vul.cve="CVE-2025-12762"
ZoomEye Dork👉app="pgAdmin4"
40.3k exposed instances
ZoomEye Link: zoomeye.ai/searchResult?q=YX…
Refer:
1. gist.github.com/N3mes1s/356b…
2. hub.zoomeye.ai/detail/691af4…
#RCE #ZoomEye #cybersecurity #infosec #OSINT
1
24
81
7,005
17 Nov 2025
⚠️ Critical pgAdmin4 Vulnerability Lets Attackers Execute Remote Code on Servers
Read more: cybersecuritynews.com/pgadmi…
A severe remote code execution (RCE) flaw has been uncovered in pgAdmin4, the popular open-source interface for PostgreSQL databases. Dubbed CVE-2025-12762, the vulnerability affects versions up to 9.9 and could allow attackers to run arbitrary commands on the hosting server, potentially compromising entire database infrastructures.
The issue stems from improper handling of code injection during server-mode restores from PLAIN-format dump files. When pgAdmin processes these files commonly used for backing up and migrating PostgreSQL data it fails to sanitize inputs adequately.
#cybersecuritynews #vulnerability
33
94
5,119