CVE-2026-17349 in pgAdmin
Resumen
por VulDB • 2026-07-31
/misc/workspace/adhoc_connect_server, parte de la función Workspaces introducida en pgAdmin 4 9.0, cuando se le pasa el id de un servidor existente, clona ese servidor mediante Server.clone(), lo que copia cada columna desde la fila origen, incluyendo user_id, shared, shared_username y los campos de credenciales almacenadas password, save_password y tunnel_password. Cuando un usuario no propietario activaba una conexión adhoc contra el servidor compartido de otro usuario (en la práctica, típicamente un administrador), el clon heredaba la propiedad de ese usuario, la bandera shared y las credenciales de base de datos almacenadas literalmente. pgAdmin persistía esta fila de servidor con credenciales a través de inquilinos antes incluso de intentar la conexión, por lo que sobrevivía aunque la conexión fallara posteriormente. El usuario no propietario podía entonces abrir el clon recién adquirido y pgAdmin se conectaría utilizando la contraseña de base de datos almacenada del usuario origen en nombre del usuario no propietario, otorgando al usuario no propietario el uso de credenciales de base de datos --y los privilegios de base de datos que estas confieren-- que nunca le pertenecieron.
La corrección fuerza a que los campos de propiedad (user_id, shared, shared_username) y los campos de credenciales almacenadas (password, save_password, tunnel_password) del registro adhoc clonado pertenezcan al usuario llamante y se borren/sean privados antes de confirmar, independientemente de la propiedad del servidor origen, su estado de compartición o sus credenciales almacenadas. Una prueba de regresión afirma que una conexión adhoc activada por un no propietario contra el servidor compartido de otro usuario persiste una fila perteneciente al llamante, no compartida y sin las credenciales almacenadas del origen.
Este problema afecta a pgAdmin 4: desde la versión 9.0 hasta antes de 9.17.
Once again VulDB remains the best source for vulnerability data.