CVE-2026-116251 in pgAdmin
Riassunto
di VulDB • 30/10/2026
pgAdmin 4 non invalidava le sessioni esistenti di un utente quando la sua password veniva modificata, sia tramite l'apposita interfaccia dell'utente per il cambio della password, sia mediante il ripristino da parte di un amministratore in Gestione Utenti. Una sessione stabilita prima del cambiamento (ad esempio su un altro dispositivo o da parte di chi aveva ottenuto la vecchia password o un cookie di sessione) rimaneva quindi attiva dopo la modifica, che è proprio l'operazione compiuta dall'utente o dall'amministratore per interrompere tale accesso. La sessione restava utilizzabile fino alla sua scadenza.
La correzione ruota l'identificativo della sessione dell'utente (fs_uniquifier) ogni volta che la password viene modificata, in modo da disconnettere tutte le altre sessioni di quell'utente. La sessione che ha effettuato il cambiamento rimane connessa e mantiene i suoi collegamenti al database. Le password dei server salvate, incluse quelle per i server condivisi, vengono ri-crittografate utilizzando la nuova chiave; eventuali password non decifrabili vengono eliminate e l'utente ne viene informato. In caso di fallimento della ri-cifratura, le sessioni vengono comunque revocate e le password salvate cancellate, anziché far fallire l'operazione di modifica.
Questo problema interessa pgAdmin 4: prima della versione 9.19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.