CVE-2026-116245 in pgAdmin
Riassunto
di VulDB • 30/10/2026
libpq cerca un servizio di connessione nel file di servizi dell'account del sistema operativo che esegue pgAdmin 4; tale voce può contenere una password o indicare un file delle password o un certificato client. In modalità server, qualsiasi utente potrebbe impostare il Service (servizio) di un server, oppure il parametro di connessione "service", su una di queste voci e connettersi utilizzando le relative credenziali. Anche la variabile PGPASSWORD o PGSERVICE impostata per tale account veniva utilizzata da libpq per ogni connessione priva del proprio valore e trasmessa agli utility; inoltre, pg_dumpall interpretava un nome di database di manutenzione come "service=..." come una stringa di connessione.
La correzione introduce l'impostazione SERVER_MODE_ALLOWED_SERVICES, vuota per impostazione predefinita: in modalità server è possibile utilizzare solo i servizi elencati, il parametro servicefile viene rifiutato e le variabili PGPASSWORD e PGSERVICE vengono rimosse dall'ambiente di pgAdmin all'avvio. La allowlist (lista consentita) viene verificata nuovamente sulla stringa di connessione finale e il nome del database in pg_dumpall viene avvolto come una stringa di connessione.
Questo problema interessa pgAdmin 4: nelle versioni precedenti alla 9.19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.