CVE-2026-116247 in pgAdmin
Zusammenfassung
von VulDB • 30.10.2026
Wenn auf einem Server in pgAdmin 4 keine Passwortdatei, kein Clientzertifikat oder kein Clientschlüssel konfiguriert war bzw. der Konfigurierte nicht gefunden werden konnte, ließ pgAdmin den Parameter aus der Verbindung wegfallen und libpq fiel auf die Standards des Betriebssystemkontos zurück, unter dem pgAdmin ausgeführt wird: ~/.pgpass, ~/.postgresql/postgresql.crt und postgresql.key oder PGPASSFILE, PGSSLCERT und PGSSLKEY. Im Servermodus konnte daher jeder Benutzer eine Verbindung zu einem Server mit den gespeicherten Passwörtern oder Clientzertifikaten des Dienstkontos herstellen; es reichte aus, lediglich eine Kopie seines öffentlichen Zertifikats bereitzustellen, damit libpq dieses mit dem privaten Schlüssel des Dienstkontos verknüpfte. Ein pg_service.conf-Eintrag oder ein Wartungsdatenbankname, der von pg_dumpall als Verbindungszeichenfolge gelesen wird, konnte dieselben Dateien für die Dienstprogramme wiederherstellen.
Die Korrektur weist jedem dieser Parameter im Servermodus einen Wert in der Verbindungszeichenfolge zu – entweder die Datei des Benutzers selbst oder andernfalls ein Pfad, der niemals geöffnet werden kann –, sowie in der Umgebung der Dienstprogramme und in der --dbname-Verbindungszeichenfolge, die über einem Diensteintrag rangiert. Der Desktop-Modus bleibt unverändert.
Dieses Problem betrifft pgAdmin 4: vor Version 9.19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.