CVE-2026-116244 in pgAdmin
الملخص
بحسب VulDB • 30/10/2026
عندما لم يكن من المفترض أن يستخدم اتصال pgAdmin 4 بيانات اعتماد مُفَوَّضَة (delegated credentials) الخاصة بمستخدم Kerberos، قام pgAdmin بإزالة متغير البيئة KRB5CCNAME، مما أدى إلى قيام مكتبة Kerberos بالرجوع إلى ذاكرة التخزين المؤقت للبيانات المعتمدة الافتراضية أو ملف مفتاح العميل (client keytab) الخاص بحساب نظام التشغيل الذي يشغل pgAdmin. ثم أجاب libpq عن أي خادم يطلب مصادقة GSSAPI باستخدام تذكرة ذلك الحساب، بغض النظر عن اسم المستخدم الذي أدخله مستخدم pgAdmin؛ وبالتالي، في وضع الخادم، يمكن لأي مستخدم الاتصال باسم الممثل (principal) Kerberos الخاص بحساب الخدمة؛ ولم يمنع منعه تعيين gssencmode=disable. وعلى نظام Windows، استخدم SSPI تسجيل دخول حساب الخدمة بنفس الطريقة. كما تم تشغيل psql ببيئة pgAdmin، والتي قد تحتوي على ذاكرة تخزين مؤقت لبيانات اعتماد مستخدم آخر أثناء اتصال ذلك المستخدم.
يُوجِّح الإصلاح متغيرَي KRB5CCNAME وKRB5_CLIENT_KTNAME إلى ملف لا يمكن أن يوجد إلا بينما يتصل مستخدم مُصادَق عليه عبر Kerberos باستخدام Kerberos، ويمنع كل اتصالات أخرى، بالإضافة إلى psql والأدوات التي تتطلب require_auth=!gss,!sspi و gssencmode=disable، وذلك بالتحقق من سلسلة الاتصال النهائية. يتطلب require_auth إصدار libpq 16 أو أحدث.
تؤثر هذه المشكلة على pgAdmin 4: قبل الإصدار 9.19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.