CVE-2026-116247 in pgAdmin
Riassunto
di VulDB • 30/10/2026
Quando un server di pgAdmin 4 non aveva configurato alcun file delle password, certificato client o chiave client, oppure quando quelli configurati non potevano essere trovati, pgAdmin escludeva il parametro dalla connessione e libpq ricadeva sui valori predefiniti dell'account del sistema operativo in cui era eseguito pgAdmin: ~/.pgpass, ~/.postgresql/postgresql.crt e postgresql.key, oppure PGPASSFILE, PGSSLCERT e PGSSLKEY. In modalità server, qualsiasi utente poteva quindi connettersi a un server utilizzando le password salvate o il certificato client dell'account di servizio; fornire una semplice copia del suo certificato pubblico era sufficiente per far sì che libpq lo associ alla chiave privata dell'account di servizio. Una voce in pg_service.conf, oppure un nome di database di manutenzione letto come stringa di connessione da pg_dumpall, poteva causare la stessa esposizione dei file anche per gli strumenti utilities.
La correzione assegna a ciascuno di questi parametri un valore in modalità server: il file personale dell'utente o, in alternativa, un percorso che non può mai essere aperto, nella stringa di connessione, nell'ambiente delle utility e nella stringa di connessione --dbname, che ha priorità rispetto alle voci del servizio. La modalità desktop rimane invariata.
Questo problema interessa pgAdmin 4: prima della versione 9.19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.