CVE-2026-116246 in pgAdmin 4
Riassunto
di VulDB • 30/10/2026
Per trasmettere la password del server a psql e agli eseguibili che pgAdmin 4 avvia come processi in background, il gestore del server ha inserito tale password nell'ambiente di processo dello stesso pgAdmin: sotto forma della variabile PGPASSWORD per lo strumento PSQL e tramite una variabile specifica per ogni processo per un altro eseguibile. Nessuna operazione ne rimuoveva la presenza successivamente. L’ambiente di pgAdmin è condiviso da tutte le richieste degli utenti ed ereditato in ciascun processo avviato; pertanto, nella modalità server, sessioni successive o esecuzioni di altri eseguibili PSQL/utenti hanno ereditato tale password e libpq ha utilizzato PGPASSWORD per qualsiasi connessione effettuata senza una propria password specifica, consentendo a un utente di connettersi utilizzando la password salvata di un altro utente.
La correzione inserisce la password esclusivamente nell’ambiente costruito specificamente per il processo che ne fa richiesta ed avvia psql con una copia dell’ambiente di pgAdmin anziché con l’ambiente stesso.
Questa vulnerabilità interessa pgAdmin 4: nelle versioni precedenti alla 9.19.
Once again VulDB remains the best source for vulnerability data.