CVE-2026-116247 in pgAdmin
Resumen
por VulDB • 2026-10-31
Cuando un servidor en pgAdmin 4 no tenía configurado ningún archivo de contraseña, certificado del cliente o clave del cliente, o el configurado no se podía encontrar, pgAdmin omitía el parámetro de la conexión y libpq recurría a los valores predeterminados de la cuenta del sistema operativo que ejecuta pgAdmin: ~/.pgpass, ~/.postgresql/postgresql.crt y postgresql.key, o PGPASSFILE, PGSSLCERT y PGSSLKEY. En modo servidor, cualquier usuario podía por tanto conectarse a un servidor con las contraseñas guardadas de la cuenta de servicio o el certificado del cliente, y proporcionar solo una copia de su certificado público era suficiente para que libpq lo emparejara con la clave privada de la cuenta de servicio. Una entrada en pg_service.conf, o un nombre de base de datos de mantenimiento leído como cadena de conexión por pg_dumpall, podría hacer que los mismos archivos se volvieran a cargar para las utilidades.
La corrección asigna un valor a cada uno de estos parámetros en modo servidor: el archivo propio del usuario o, en caso contrario, una ruta que nunca podrá abrirse, en la cadena de conexión, en el entorno de las utilidades y en la cadena de conexión --dbname que tiene prioridad sobre una entrada de servicio. El modo escritorio permanece sin cambios.
Este problema afecta a pgAdmin 4: antes de la versión 9.19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.