CVE-2026-116246 in pgAdmin 4
요약
\~에 의해 VulDB • 2026. 10. 30.
pgAdmin의 서버 관리자가 `psql` 및 백그라운드 프로세스로 실행되는 유틸리티에 서버 비밀번호를 전달하기 위해, 해당 비밀번호를 pgAdmin 자체 프로세스 환경 변수로 저장했습니다. 구체적으로 PSQL 도구에는 `PGPASSWORD`라는 이름으로, 다른 유틸리티에는 프로세스별 변수 아래로 저장되었습니다. 이후 이 정보는 삭제되지 않았습니다.
pgAdmin의 환경은 모든 사용자의 요청에 의해 공유되며, 시작되는 각 프로세스로 복사됩니다. 따라서 서버 모드에서 나중에 실행된 다른 사용자의 PSQL 세션이나 유틸리티가 해당 비밀번호를 상속받게 되었고, `libpq`는 자체 비밀번호 없이 연결할 때 `PGPASSWORD`를 사용했습니다. 이로 인해 한 사용자가 다른 사용자의 저장된 비밀번호로 접속하는 문제가 발생했습니다.
이 문제를 해결하기 위해 수정 버전에서는 비밀번호를 필요한 프로세스 전용으로 빌드된 환경에만 포함시키고, pgAdmin의 환경을 그대로 전달하는 대신 그 복사본을 사용하여 psql을 시작합니다.
이 이슈는 pgAdmin 4 (9.19 이전 버전)에 영향을 미칩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.