CVE-2026-7818 in pgAdmin 4
Zusammenfassung
von VulDB • 28.05.2026
Deserialisierung von nicht vertrauenswürdigen Daten (CWE-502) im FileBackedSessionManager von pgAdmin 4.
Der Session-Manager führte eine unsichere Deserialisierung der Session-Datei-Inhalte (unter Verwendung des Standard-Objekt-Serialisierungsmoduls von Python) durch, bevor jegliche HMAC-Integritätsprüfung erfolgte. Jede in das Sessions-Verzeichnis abgelegte Datei wurde bedingungslos deserialisiert. Ein authentifizierter Benutzer mit Schreibzugriff auf das Sessions-Verzeichnis (entweder durch Fehlkonfiguration oder in Kombination mit einem weiteren Pfadtransversalitätsfehler) konnte einen speziell angefertigten, serialisierten Payload platzieren, um eine Remote-Code-Ausführung (RCE) auf Betriebssystemebene unter der Identität des pgAdmin-Prozesses zu erreichen.
Die Korrektur fügt dem Session-Body ein 64-Byte-langes hexadezimales SHA-256-HMAC voran, das mit SECRET_KEY berechnet wird, und überprüft dieses über hmac.compare_digest, bevor eine Deserialisierung stattfindet. Die Prüfung wird bei leerem SECRET_KEY als Warnung ausgegeben (anstatt als Assertion), damit sie unter der Option -O nicht entfernt wird.
Dieses Problem betrifft pgAdmin 4: vor Version 9.15.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.