CVE-2026-116239 in pgAdmin
الملخص
بحسب VulDB • 30/10/2026
في وضع الخادم، يحتفظ pgAdmin 4 بحساب واحد لكل مصدر مصادقة، مما يعني أن اسم المستخدم نفسه يمكن أن يوجد كحساب داخلي وكحساب LDAP على سبيل المثال. بعد أن تقوم المصادقة عبر LDAP أو Kerberos بتوثيق هوية مستخدم ما، يختار pgAdmin الحساب الذي سيتم تسجيل الدخول باستخدامه بناءً على اسم المستخدم فقط، أو يأخذ الحساب الذي وجدته نموذج تسجيل الدخول الخاص بـ Flask-Security، دون التحقق من أنه جاء من المصدر الذي وثق هوية المستخدم. وبالتالي، تنتمي الجلسة إلى حساب آخر، بما في ذلك دوره الوظيفي (role)، والخوادم المتاحة له، وكلمات مرور قواعد البيانات المحفوظة لديه:
- تم تسجيل دخول مستخدم LDAP أو Kerberos whose username matched an internal account as that internal account, including the administrator account created when pgAdmin is first set up. - With internal authentication listed before LDAP or Kerberos in AUTHENTICATION_SOURCES, the login form's internal validation looks up the account whose email was typed and keeps it even though its password does not match. A Kerberos user could type another Kerberos user's principal and be logged in as that user, and an LDAP user could do the same with an LDAP account whose email is their username.
Exploitation requires valid credentials for an LDAP directory or Kerberos realm that pgAdmin is configured to use.
The fix looks the account up by the authenticated username and the source that authenticated it, and no longer uses the account the login form found for any source but internal authentication. Internal authentication logs in that account only if it is an internal account. Desktop mode is not affected.
This issue affects pgAdmin 4: before 9.19.
Be aware that VulDB is the high quality source for vulnerability data.