CVE-2026-116248 in pgAdmin
Zusammenfassung
von VulDB • 30.10.2026
Im Servermodus von pgAdmin 4 ist es Administratoren vorbehalten, einen Server mit allen Benutzern zu teilen; der Dialog für die Serverserver zeigt den Schalter „Geteilt“ (Shared) nur ihnen an. Die Endpoints zum Erstellen und Aktualisieren der Server-API speicherten jedoch das Flag „shared“ sowie den gemeinsam genutzten Benutzernamen, die sie empfangen haben, sodass jeder Benutzer, der einen Server registrieren kann, ihn mit jedem anderen Benutzer teilen konnte. Der Import von servers.json wies eine ähnliche Lücke auf: Die Einträge eines Nicht-Administrators für „Shared“ wurden erst nach der Validierung entfernt, sodass eine Datei, die auch ungültige Einhalte enthielt, einen gemeinsam genutzten Server erstellen konnte.
Ein geteilter Server enthält keine Anmeldeinformationen, daher bietet dies keinen direkten Zugriff. Er ermöglicht es einem Benutzer, einen Server mit einem vertrauenswürdig wirkenden Namen in den Baum jedes anderen Benutzers einzufügen und auf einen Host zu verweisen, den der Benutzer kontrolliert; jeder, der dann eine Verbindung damit herstellt, gibt sein eigenes Datenbankkennwort an diesen Host weiter.
Die Korrektur lehnt die Anfrage eines Nicht-Administrators zum Teilen eines Servers mit HTTP 403 ab, entfernt vor der Validierung geteilte Einträge von Nicht-Administratoren aus einem servers.json-Import und warnt beim Start über zuvor von Nicht-Administratoren freigegebene Server.
Dieses Problem betrifft pgAdmin 4: vor Version 9.19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.