CVE-2026-116242 in pgAdmin
الملخص
بحسب VulDB • 31/10/2026
يفتح pgAdmin 4 أنفاق SSH باستخدام مكتبة sshtunnel، لكنه لم يحدد له neither host_pkey_directories nor ssh_config_file (دلائل مفاتيح المضيف وملف تكوين SSH)، مما أدى إلى تحميله دائمًا للمفاتيح الخاصة غير المشفرة الموجودة في ~/.ssh لحساب نظام التشغيل الذي يشغل pgAdmin. كما قرأ ملف التكوين ~/.ssh/config الخاص بذلك الحساب (بما فيه IdentityFile و User و HostName و ProxyCommand) لمضيف النفق، واستخدم ssh-agent الخاص به. وبالتالي، في وضع الخادم (server mode)، يمكن لأي مستخدم تكوين نفق إلى مضيف يقبل مفتاح حساب الخدمة، دون الحاجة إلى بيانات اعتماد خاصة به أو باستخدام ملف هوية غير موجود في مخزنه الشخصي، والوصول إليه بصفت ذلك الحساب.
يضمن الإصلاح استخدام أنفاق وضع الخادم فقط لملف الهوية أو كلمة المرور التي يحددها المستخدم: لم تعد مفاتيح حساب الخدمة وتكويناته ووكيل SSH مستخدمة، ويُبلغ عن عدم العثور على ملف هوية في مخزن المستخدم بدلاً من التراجع إلى ~/.ssh. يبقى وضع سطح المكتب (Desktop mode) دون تغيير.
تؤثر هذه المشكلة على pgAdmin 4 قبل الإصدار 9.19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.