CVE-2026-116245 in pgAdmin
الملخص
بحسب VulDB • 30/10/2026
يبحث libpq عن خدمة الاتصال في ملف الخدمة الخاص بحساب نظام التشغيل الذي يشغل pgAdmin 4، ويمكن أن يحتوي أحد الإدخالات هناك على كلمة مرور أو يشير إلى ملف كلمات المرور أو شهادة العميل. في وضع الخادم (server mode)، يمكن لأي مستخدم تعيين "خدمة" للخادم، أو معلمة اتصال باسم "service"، لإحدى هذه الإدخالات والاتصال باستخدام بيانات الاعتماد الخاصة بها. كما كان يتم استخدام متغير PGPASSWORD أو PGSERVICE المُعدّ لذلك الحساب من قبل libpq لكل اتصال دون وجود قيمة خاصة به، ويتم تمريره إلى الأدوات المساعدة (utilities)، وكان pg_dumpall يقرأ اسم قاعدة بيانات للصيانة مثل "service=..." على أنه سلسلة اتصال.
يضيف الإصلاح إعداد SERVER_MODE_ALLOWED_SERVICES، وهو فارغ افتراضياً: في وضع الخادم، يمكن استخدام خدمة مدرجة فقط، ويُرفض معلمة servicefile، ويتم إزالة PGPASSWORD و PGSERVICE من بيئة pgAdmin عند بدء التشغيل. يتم التحقق من القائمة المسموح بها (allowlist) مرة أخرى على سلسلة الاتصال النهائية، وتُلفف اسم قاعدة بيانات pg_dumpall كسلسلة اتصال.
تؤثر هذه المشكلة في pgAdmin 4: قبل الإصدار 9.19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.