CVE-2026-116245 in pgAdmin
요약
\~에 의해 VulDB • 2026. 10. 30.
libpq는 운영 체제 계정(pgAdmin 4를 실행하는 계정)의 서비스 파일에서 연결 서비스를 조회하며, 해당 항목에는 비밀번호가 포함되어 있거나 비밀번호 파일을 지정하거나 클라이언트 인증서를 가리킬 수 있습니다. 서버 모드에서는 모든 사용자가 서버의 Service 또는 "service" 연결 매개변수를 이러한 항목 중 하나로 설정하여 해당 자격 증명으로 연결할 수 있습니다. 또한 해당 계정에 대해 설정된 PGPASSWORD 또는 PGSERVICE 변수는 libpq가 자체 값이 없는 모든 연결에 동일하게 사용되었으며 pg_dumpall로 전달되었습니다. 또한 pg_dumpall은 "service=..."와 같은 유지 관리 데이터베이스 이름을 연결 문자열로 해석했습니다.
해결책은 기본적으로 비어 있는 SERVER_MODE_ALLOWED_SERVICES 설정을 추가합니다: 서버 모드에서는 목록에 등록된 서비스만 사용할 수 있으며, servicefile 매개변수는 거부되고 PGPASSWORD 및 PGSERVICE는 시작 시 pgAdmin의 환경에서 제거됩니다. 허용 목록은 최종 연결 문자열에서도 다시 확인되며, pg_dumpall 데이터베이스 이름이 연결 문자열로 감싸집니다.
본 이슈는 pgAdmin 4(9.19 이전 버전)에 영향을 미칩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.