CVE-2026-116245 in pgAdmin
Zusammenfassung
von VulDB • 31.10.2026
libpq sucht einen Verbindungsdienst in der Dienstdatei des Betriebssystemkontos, das pgAdmin 4 ausführt, und ein Eintrag dort kann ein Passwort enthalten oder eine Passwortdatei bzw. ein Clientzertifikat benennen. Im Servermodus könnte jeder Benutzer den Service eines Servers oder einen Verbindungsparameter „service“ auf einer dieser Einstellungen festlegen und sich mit dessen Anmeldeinformationen verbinden. Eine für dieses Konto gesetzte PGPASSWORD- oder PGSERVICE-Variable wurde von libpq ebenfalls bei jeder Verbindung ohne eigenen Wert verwendet und an die Dienstprogramme weitergegeben, und pg_dumpall las einen Wartungsdatenbanknamen wie „service=...“ als Verbindungszeichenkette (Connection String).
Die Korrektur fügt die Einstellung SERVER_MODE_ALLOWED_SERVICES hinzu, die standardmäßig leer ist: Im Servermodus kann nur ein aufgelisteter Service verwendet werden, der servicefile-Parameter wird abgelehnt, und PGPASSWORD sowie PGSERVICE werden beim Start aus der Umgebung von pgAdmin entfernt. Die Allowlist (Zulassungsliste) wird erneut für den endgültigen Verbindungszeichenkette überprüft, und der Datenbankname in pg_dumpall wird als Verbindungszeichenkette umschlossen.
Dieses Problem betrifft pgAdmin 4: vor Version 9.19.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.