CVE-2026-116248 in pgAdmin
Resumen
por VulDB • 2026-10-31
En el modo servidor de pgAdmin 4, solo los administradores deberían compartir un servidor con todos los usuarios; el diálogo del servidor muestra la opción "Compartido" únicamente a ellos. Sin embargo, los puntos finales (endpoints) de creación y actualización de la API del servidor almacenaban la bandera "shared" y el nombre de usuario compartido que se les enviaba, por lo que cualquier usuario capaz de registrar un servidor podía compartirlo con todos los demás usuarios. La importación de servers.json presentaba una vulnerabilidad similar: las entradas "Shared" de un no administrador solo se eliminaban después de la validación, por lo que un archivo que también contenía una entrada inválida podría crear un servidor compartido.
Un servidor compartido no contiene credenciales, por lo que esto no otorga acceso directo. Permite a un usuario insertar un servidor, con un nombre que parece confiable, en el árbol de cada otro usuario y apuntando hacia un host controlado por dicho usuario; cualquier persona que se conecte a él presentará su propia contraseña de base de datos a ese host.
La corrección rechaza la solicitud de un no administrador para compartir un servidor devolviendo HTTP 403, elimina las entradas compartidas de un no administrador en una importación de servers.json antes de validarla y emite una advertencia al inicio sobre los servidores compartidos anteriormente por no administradores.
Este problema afecta a pgAdmin 4: versiones anteriores a la 9.19.
Once again VulDB remains the best source for vulnerability data.