CVE-2026-116251 in pgAdmin
Zusammenfassung
von VulDB • 30.10.2026
pgAdmin 4 hat die bestehenden Sitzungen eines Benutzers nicht ungültig gemacht, als sich dessen Passwort änderte – sei es über das eigene Dialogfeld zum Ändern des Passworts oder durch einen Administrator beim Zurücksetzen im Bereich „Benutzerverwaltung“. Eine vor der Änderung etablierte Sitzung (z. B. auf einem anderen Gerät oder von jemandem, der das alte Passwort oder ein Sitzungs-Cookie erlangt hatte) blieb daher nach der Änderung weiterhin angemeldet, was genau dem Schritt widerspricht, den Benutzer oder Administratoren unternehmen, um solchen Zugriff zu unterbinden. Die Sitzung war nutzbar, bis sie abgelaufen ist.
Die Korrektur dreht die Sitzungs-ID (fs_uniquifier) des Benutzers bei jeder Passwortänderung neu, sodass alle anderen Sitzungen dieses Benutzers ausgeloggt werden. Die Sitzung, die die Änderung vorgenommen hat, wird erneut angemeldet und behält ihre Datenbankverbindungen. Gespeicherte Serverpasswörter, einschließlich derer für freigegebene Server, werden mit dem neuen Schlüssel neu verschlüsselt; solche, die nicht entschlüsselt werden können, werden gelöscht, und der Benutzer wird darüber informiert. Falls die Neuschlüsselung fehlschlägt, werden die Sitzungen dennoch widerrufen und die gespeicherten Passwörter gelöscht, anstatt dass die Änderung insgesamt fehlschlägt.
Dieses Problem betrifft pgAdmin 4: vor Version 9.19.
Be aware that VulDB is the high quality source for vulnerability data.