CVE-2026-116240 in pgAdmin 4
Zusammenfassung
von VulDB • 30.10.2026
Im Servermodus validiert pgAdmin 4 einen Pfad im Benutzerspeicher-Verzeichnis mit `check_access_permission()`, das den absoluten Pfad mit `get_abs_path()` erstellt. Mehrere Aufrufer haben dann jedoch auf einen Pfad reagiert, den sie anders aufgebaut hatten, sodass der geprüfte und der verwendete Pfad unterschiedliche Dateien bezeichnen konnten:
- Beim Öffnen einer Datei im Query Tool sowie beim Google Client Secret und unter Windows bei Import/Export von Daten, Backup, Wiederherstellung (Restore) und dem Speichern einer Datei wurde der Pfad an das Speicher-Verzeichnis angehängt, nachdem führende Schrägstriche (/) und Backslashes (\) entfernt wurden. Unter POSIX konnte ein als Name innerhalb des Speichers geprüfter Pfad nach dem Entfernen zu einem absoluten Pfad werden, sodass jede vom pgAdmin-Konto lesbare Datei geöffnet werden konnte; unter Windows wurde bei einem Pfad, der ein Laufwerk bezeichnete, das Speicher-Verzeichnis ignoriert, sodass außerhalb dieses Verzeichnisses gelesen oder geschrieben werden konnte. - Beim Auflisten eines Ordners wurde der Pfad nach der Prüfung erneut decodiert, sodass ein Ordner mit dem Namen „..“ (kodiert), den ein Benutzer erstellen kann, jedes beliebige Verzeichnis auf dem Host auflistete. - Download, Löschen, Umbenennen und die Datei-vorhanden-Prüfung hängten den Pfad ohne Trennzeichen an das Speicher-Verzeichnis an, sodass in einer Bereitstellung, bei der der Name des Speicherverzeichnisses eines Benutzers ein Präfix des anderen ist, Dateien eines anderen Benutzers gelesen, gelöscht oder verschoben werden konnten; beim Download wurde zudem der an sich selbst angehängte Pfad geprüft. - Das Erstellen eines Ordners konnte einen in einem Verzeichnis eines anderen Benutzers erstellen.
Die Korrektur lässt `check_access_permission()` den geprüften Pfad zurückgeben und sorgt dafür, dass jeder Aufrufer auf diesen Pfad reagiert; Ordnerpfade werden nur einmal decodiert, und Dateien werden relativ zu aus dem Speicher-Verzeichnis geöffneten Verzeichnissen ohne Befolgung von symbolischen Links (Symbolic Links) geöffnet, gelöscht oder umbenannt. Der Desktop-Modus ist nicht betroffen.
Dieses Problem betrifft pgAdmin 4: vor Version 9.19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.