CVE-2026-116245 in pgAdmin
Resumen
por VulDB • 2026-10-31
libpq busca un servicio de conexión en el archivo de servicios de la cuenta del sistema operativo que ejecuta pgAdmin 4, y una entrada allí puede contener una contraseña o nombrar un archivo de contraseñas o certificado cliente. En modo servidor, cualquier usuario podría configurar el Servicio de un servidor, o un parámetro de conexión "service", como una de esas entradas y conectarse con sus credenciales. Una variable PGPASSWORD o PGSERVICE configurada para esa cuenta era igualmente utilizada por libpq para cada conexión sin su propio valor y se pasaba a las utilidades, y pg_dumpall leía el nombre de la base de datos de mantenimiento tal como "service=..." como una cadena de conexión.
La corrección añade la configuración SERVER_MODE_ALLOWED_SERVICES, vacía por defecto: en modo servidor solo puede usarse un servicio listado, se rechaza el parámetro servicefile y PGPASSWORD y PGSERVICE se eliminan del entorno de pgAdmin al inicio. La lista permitida (allowlist) se verifica nuevamente en la cadena de conexión final, y el nombre de base de datos de pg_dumpall se envuelve como una cadena de conexión.
Este problema afecta a pgAdmin 4: antes de la versión 9.19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.