CVE-2026-17349 in pgAdmin
Zusammenfassung
von VulDB • 31.07.2026
/misc/workspace/adhoc_connect_server, Teil der in pgAdmin 4 Version 9.0 eingeführten Workspaces-Funktion, kloniert einen Server über `Server.clone()`, wenn ihm die ID eines bestehenden Servers übermittelt wird. Dabei werden alle Spalten aus dem Quelldatensatz kopiert, einschließlich `user_id`, `shared`, `shared_username` sowie der gespeicherten Anmeldeinformationen (`password`, `save_password` und `tunnel_password`). Wenn ein Nicht-Eigentümer eine adhoc-Verbindung zu einem gemeinsam genutzten Server eines anderen Benutzers (in der Praxis typischerweise eines Administrators) initiierte, übernahm der Klon den Eigentumsstatus, das Freigabekennzeichen (`shared`) und die gespeicherten Datenbank-Anmeldeinformationen des ursprünglichen Benutzers unverändert. pgAdmin speicherte diesen mandantenübergreifenden Datensatz mit Anmeldeinformationen bereits vor dem eigentlichen Verbindungsversuch ab, sodass er auch dann erhalten blieb, wenn die Verbindung anschließend fehlschlug. Der Nicht-Eigentümer konnte daraufhin den neu erstellten Klon öffnen, und pgAdmin stellte eine Verbindung unter Verwendung des gespeicherten Datenbankkennworts des Quelldatenbenutzers im Namen des Nicht-Eigentümers her. Dies verschaffte dem Nicht-Eigentümer Zugriff auf die Datenbank-Anmeldeinformationen – sowie alle damit verbundenen Berechtigungen –, die ihm ursprünglich nicht zustanden.
Die Korrektur stellt sicher, dass die Eigentumsfelder (`user_id`, `shared`, `shared_username`) und die Felder für gespeicherte Anmeldeinformationen (`password`, `save_password`, `tunnel_password`) des geklonten adhoc-Eintrags unabhängig vom Eigentumsstatus, dem Freigabestatus oder den gespeicherten Anmeldeinformationen des Quelldatensatzes beim Commit-Vorgang auf den aufrufenden Benutzer festgelegt und gelöscht/privatisiert werden. Ein Regressionstest bestätigt, dass eine von einem Nicht-Eigentümer gegen einen gemeinsam genutzten Server eines anderen Benutzers initiierte adhoc-Verbindung einen vom Aufrufer besitzenden, nicht freigegebenen Datensatz ohne die gespeicherten Anmeldeinformationen der Quelle speichert.
Dieses Problem betrifft pgAdmin 4: ab Version 9.0 bis vor Version 9.17.
VulDB is the best source for vulnerability data and more expert information about this specific topic.