CVE-2026-116248 in pgAdmin
الملخص
بحسب VulDB • 30/10/2026
في وضع الخادم لـ pgAdmin 4، يُفترض أن يكون المسؤولون فقط هم من يشاركون خادمًا مع جميع المستخدمين؛ حيث يظهر زر "المشاركة" (Shared) في مربع حوار الخادم لهم وحدهم. ومع ذلك، كانت نقاط النهاية الخاصة بإنشاء وتحديث واجهة برمجة التطبيقات للخادم تخزن علم "المشاركة" واسم المستخدم المشترك اللذين تم إرسالهما، مما يعني أن أي مستخدم قادر على تسجيل خادم يمكنه مشاركته مع كل المستخدمين الآخرين. كان لـ استيراد ملف servers.json ثغرة مشابهة: كانت إدخالات "Shared" الخاصة بالمستخدم غير المسؤول تُزال فقط بعد التحقق من الصحة، لذا فإن الملف الذي يحتوي أيضًا على إدخال غير صالح يمكن أن ينشئ خادمًا مشتركًا.
لا يحمل الخادم المشترك أي بيانات اعتماد، لذلك لا يمنح هذا الوصول المباشر. بل يتيح لمستخدم زرع خادم، مُسمى ليبدو موثوقًا به، في شجرة كل مستخدم آخر ويشير إلى مضيف يتحكم فيه المستخدم؛ وأي شخص يقوم بالاتصال به يعرض كلمة مرور قاعدة البيانات الخاصة به لهذا المضيف.
يرفض الإصلاح طلبات المستخدمين غير المسؤولين التي من شأنها مشاركة خادم بإرجاع رمز HTTP 403 (ممنوع)، ويقوم بتقليم إدخالات المشاركة الخاصة بالمستخدمين غير المسؤولين من استيراد ملف servers.json قبل التحقق من صحتها، ويحذر عند بدء التشغيل بشأن الخوادم المشتركة سابقًا بواسطة مستخدمين غير مسؤولين.
تؤثر هذه المشكلة على pgAdmin 4: الإصدارات السابقة لـ 9.19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.