文章总结： pgAdmin4发布9.16版本，修复了7个安全漏洞，包括CVE-2026-12044等多个SQL注入漏洞、CVE-2026-12045权限绕过漏洞、CVE-2026-12048存储型XSS漏洞及CVE-2026-12049开放重定向漏洞，同时新增服务器标签页颜色标记、中键关闭标签页等功能，并强化了访问控制，建议用户及时升级以降低风险。 综合评分： 88 文章分类： 漏洞预警,应用安全,数据库安全,安全更新

pgAdmin 4发布，修复了七个安全漏洞并新增功能

O安全研究员 O安全研究员

O安全研究员

2026年6月22日 19:20 广东

在小说阅读器读本章

去阅读

pgAdmin 4 9.16 版本已发布，包含新功能、漏洞修复和关键安全更新，强化了广泛使用的 PostgreSQL 管理平台。

此次更新包含64项漏洞修复，并修复了7个安全漏洞，编号为CVE-2026-12044至CVE-2026-12050。

pgAdmin 仍然是管理 PostgreSQL 数据库最受欢迎的开源图形工具之一，这使得这些安全修复在企业和云部署中尤为重要，因为该平台常用于管理访问。

本次发布的一个重要亮点是修复了多个高影响漏洞，包括SQL注入漏洞和跨站脚本问题。

其中最严重的漏洞CVE-2026-12044涉及在十六个对话框模板中注入SQL时，用户控制输入处理不当。

这一缺陷现已通过采用更安全的查询处理方法和合适的铸造机制得到缓解。

另一个严重问题，编号为CVE-2026-12045，允许攻击者绕过AI助手功能的只读交易限制。

pgAdmin 4 发布

通过利用提示注入，攻击者可以执行多语句负载，并在连接提升权限时通过PostgreSQL的“复制到程序”功能实现远程代码执行。

认证和访问控制的弱点也得到了解决。CVE-2026-12046 暴露了两个缺乏适当认证检查的 SQL 编辑器端点。

允许未经授权访问并引入反序列化风险。修复后确保所有端点现在都强制执行必要的登录验证。

多个客户端漏洞也被解决。CVE-2026-12048 是一个关键的跨站存储脚本问题，允许嵌入在 PostgreSQL 错误消息或查询计划中的恶意脚本在 pgAdmin 接口中执行。

这可能导致凭证盗窃和跨活跃连接的未经授权数据库操作。

此外，CVE-2026-12047 修复了云部署集成中未净化的 SDK 错误信息在浏览器中出现的 HTML 注入问题。

该版本还修复了多因素认证流程中的开放重定向漏洞（CVE-2026-12049）以及恢复点功能中的另一个SQL注入漏洞（CVE-2026-12050），这两者都允许用户输入在SQL查询中，但没有正确参数化。

除了安全性，pgAdmin 4 v9.16 还引入了多项可用性增强。用户现在可以根据所连接的服务器为面板和标签页头涂色，使多服务器管理更加直观。

新增了中键点击关闭标签页的功能，同时改进了OAuth2的登录自定义和密码重置导航。

额外更新包括支持新的 PostgreSQL 存储参数、改进 JSON 处理以及依赖升级，包括 Electron 42.3.3 和更新的密码库。

Helm图表现在允许配置容器安全上下文，提升Kubernetes环境中的部署灵活性。

该版本还通过移除之前识别的管理员角色绕过，强制执行更严格的访问控制。它将 SQL 模板与 PostgreSQL 14 对齐，这是最早支持的版本。

关于弃用，pgAgent已被正式标记为移除对象，建议用户在未来几个月内迁移到其他工作调度解决方案。

pgAdmin 4 9.16 版本现已可在多个平台上下载，包括 Windows、macOS、Linux 包、Docker 容器和 Python 发行版。

强烈建议组织及时升级，以降低这些漏洞带来的风险，并从最新改进中受益。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：O安全研究员 O安全研究员 O安全研究员《pgAdmin 4发布，修复了七个安全漏洞并新增功能》