pgAdmin < 9.2 多个漏洞

critical Nessus 插件 ID 234350

语言：

简介

远程主机上安装的 pgAdmin 实例受到多个漏洞影响。

描述

远程主机上安装的 pgAdmin 版本低于 9.2。因此，该应用程序受到以下漏洞的影响：

- pgAdmin 4（查询工具和云部署模块）中的远程代码执行安全漏洞。该漏洞与 2 个 POST 端点有关：/sqleditor/query_tool/download 和 /cloud/deploy 端点，前者的 query_commited 参数和后者的 high_availability 参数会以不安全的方式传递给 Python eval() 函数，从而允许任意代码执行攻击。(CVE-2025-2945)

- pgAdmin <= 9.1 受到跨站脚本 (XSS) 安全漏洞的影响。如果攻击者通过呈现查询结果在用户的浏览器中执行任意 HTML/JavaScript，则 HTML/JavaScript 会在浏览器中运行。(CVE-2025-2946)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。