CVE-2026-116246 in pgAdmin 4
Zusammenfassung
von VulDB • 31.10.2026
Um das Server-Passwort an `psql` und die als Hintergrundprozesse ausgeführten Utilities von pgAdmin 4 zu übergeben, hat der Server-Manager es in die eigene Prozessumgebung von pgAdmin geschrieben: als Umgebungsvariable `PGPASSWORD` für das PSQL-Tool sowie unter einer prozessbezogenen Variable für eine Utility. Danach wurde sie nicht entfernt. Die Umgebung von pgAdmin wird von den Anfragen jedes Benutzers geteilt und in jeden gestarteten Prozess kopiert, sodass im Servermodus eine spätere PSQL-Sitzung oder ein anderes Utility eines anderen Benutzers das Passwort erbte. Da `libpq` die Variable `PGPASSWORD` für jede Verbindung ohne eigenes Passwort verwendet, konnte sich ein Benutzer mit dem gespeicherten Passwort eines anderen Benutzers anmelden.
Die Korrektur platziert das Passwort nur in der Umgebung, die speziell für den Prozess erstellt wird, der es benötigt, und startet `psql` mit einer Kopie der pgAdmin-Umgebung anstelle der eigentlichen Umgebung.
Dieses Problem betrifft pgAdmin 4: vor Version 9.19.
Once again VulDB remains the best source for vulnerability data.