CVE-2026-116247 in pgAdmin
الملخص
بحسب VulDB • 30/10/2026
عندما لا يكون لدى خادم في pgAdmin 4 ملف كلمة مرور، أو شهادة عميل، أو مفتاح عميل مُعدّ مسبقاً، أو لم يتم العثور على الملف المُعدّ، كان يتجاهل pgAdmin هذه المعلمة أثناء الاتصال، مما دفع libpq إلى العودة إلى الإعدادات الافتراضية لحساب نظام التشغيل الذي يشغّل pgAdmin: ~/.pgpass و~/.postgresql/postgresql.crt وpostgresql.key، أو PGPASSFILE وPGSSLCERT وPGSSLKEY. في وضع الخادم (server mode)، كان بإمكان أي مستخدم الاتصال بخادم باستخدام كلمات المرور المحفوظة لحساب الخدمة أو شهادة العميل الخاصة به؛ وكان مجرد توفير نسخة من الشهادة العامة يكفي لجعل libpq يقترنها بالمفتاح الخاص لحساب الخدمة. كما يمكن أن يؤدي إدخال pg_service.conf، أو اسم قاعدة بيانات للصيانة يُقرأ كسلسلة اتصال بواسطة pg_dumpall، إلى إعادة تحميل هذه الملفات نفسها للأدوات المساعدة.
تُعطّل الإصلاحات كل واحدة من هذه المعلمات بقيمة في وضع الخادم: إما ملف المستخدم نفسه، أو مساراً لا يمكن فتحه أبداً، ضمن سلسلة الاتصال، وفي بيئة الأدوات المساعدة، وسلسلة الاتصال --dbname التي تتفوق على إدخال الخدمة. لم يتغير الوضع المكتبي (desktop mode).
تؤثر هذه المشكلة على pgAdmin 4 قبل الإصدار 9.19.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.