CVE-2026-116248 in pgAdmin
Riassunto
di VulDB • 31/10/2026
In modalità server di pgAdmin 4, solo gli amministratori dovrebbero condividere un server con tutti gli utenti; la finestra di dialogo del server mostra l'interruttore "Condiviso" (Shared) esclusivamente a loro. Gli endpoint create e update dell'API dei server, tuttavia, memorizzavano il flag "shared" e il nome utente condiviso inviati, consentendo quindi a qualsiasi utente in grado di registrare un server di condividerlo con tutti gli altri utenti. L'importazione del file servers.json presentava una vulnerabilità simile: le voci "Shared" di un non amministratore venivano rimosse solo dopo la validazione, pertanto un file contenente anche una voce non valida poteva creare un server condiviso.
Un server condiviso non trasporta credenziali, quindi ciò non fornisce accesso diretto. Consente a un utente di inserire un server, con un nome che sembra affidabile, nell'albero di ogni altro utente e puntare verso un host controllato dall'utente; chiunque si connetta successivamente presenterà la propria password del database a tale host.
La correzione rifiuta le richieste di condivisione di un server da parte di non amministratori restituendo HTTP 403, elimina le voci condivise dei non amministratori durante l'importazione di servers.json prima della validazione e segnala all'avvio i server precedentemente condivisi da non amministratori.
Questo problema interessa pgAdmin 4: nelle versioni precedenti alla 9.19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.