pgAdmin 4 发布，修复了七个漏洞并增强了功能。

ZM
ZM

暗镜

2026年6月25日 08:00
北京

在小说阅读器读本章

去阅读

pgAdmin 4 版本 9.16 由 pgAdmin 开发团队发布，引入了重要的安全改进以及功能增强和错误修复。

本次更新解决了七个漏洞（编号为 CVE-2026-12044 至 CVE-2026-12050），并修复了 64 个错误，同时还进行了各种可用性升级。

作为 PostgreSQL 环境最广泛使用的开源管理工具之一，此次发布对于依赖 pgAdmin 进行数据库操作的管理员和开发人员来说意义重大。

最关键的修复集中在高风险的注入和身份验证漏洞上。CVE-2026-12044 修复了一个影响 16 个对话框模板的 SQL 注入问题，该问题可利用未正确清理的 COMMENT 语句进行攻击。

所有 CVE 列表：

• CVE-2026-12044：由于不安全的查询构造，注释对话框模板中存在 SQL 注入漏洞
• CVE-2026-12045：AI Assistant 只读绕过漏洞，可执行多语句并可能导致远程代码执行 (RCE)。
• CVE-2026-12046：SQL 编辑器端点缺少身份验证，导致反序列化风险
• CVE-2026-12047：通过未经处理的云 SDK 错误消息注入 HTML 漏洞
• CVE-2026-12048：存储型 XSS 漏洞，可导致凭据窃取和跨服务器 SQL 执行。
• CVE-2026-12049：通过未验证参数在 MFA 流程中打开重定向
• CVE-2026-12050：利用不安全字符串格式在还原点端点中注入 SQL 漏洞

此补丁将不安全的字符串处理替换为 qtLiteral，并引入了使用关系 OID 转换的更安全的查询处理方式。另一个严重漏洞 CVE-2026-12045 修复了 AI 助手中的一个只读事务绕过漏洞，该漏洞允许攻击者执行多语句有效载荷。

在某些配置下，当使用超级用户权限时，此漏洞可能会通过 COPY TO PROGRAM 命令升级为远程代码执行。

此外，身份验证和访问控制方面的漏洞也已得到修复。CVE-2026-12046 修复了两个 SQL 编辑器端点缺少正确身份验证强制执行机制的问题，这可能暴露出 pickle 反序列化攻击途径。

CVE-2026-12049 修复了多因素身份验证工作流程中由于“下一个”参数验证不当而导致的开放重定向漏洞。

此版本还显著降低了客户端注入风险。CVE-2026-12047 修复了云部署集成中的 HTML 注入漏洞，该漏洞会导致未经过滤的 SDK 异常消息在浏览器中呈现。

更重要的是，CVE-2026-12048 修复了一个存储型跨站脚本 (XSS)漏洞，该漏洞影响多个 UI 组件，包括错误通知和 Explain 可视化工具。成功利用此漏洞可能允许攻击者窃取存储的凭据，并在连接的数据库服务器上执行任意 SQL 查询。

另一个 SQL 注入漏洞 CVE-2026-12050 在命名还原点功能中得到了修复，该漏洞导致用户输入通过字符串格式化而不是参数化语句不正确地嵌入到 SQL 查询中。

除了安全修复之外，pgAdmin 4 v9.16 还引入了多项可用性和功能增强。这些增强包括：基于服务器的颜色编码标签页，方便用户导航；鼠标中键关闭标签页；改进的 OAuth2 图标自定义；以及对物化视图中 TOAST 元组存储参数的支持。Kubernetes 用户将受益于 Helm 部署中可配置的容器安全上下文。

此次版本更新还包括依赖项更新，例如 Electron 42.3.3 和 cryptography 49.0，以及后端改进，例如标准化 PostgreSQL 14 模板目标和移除已弃用的组件。值得注意的是，pgAgent 已被正式弃用，并将于未来几个月内逐步淘汰。