CVE-2026-116248 in pgAdmin
요약
\~에 의해 VulDB • 2026. 10. 31.
pgAdmin 4의 서버 모드에서는 관리자가 아닌 사용자는 다른 모든 사용자들과 서버를 공유해서는 안 되며, 서버 대화상자에서 'Shared' 스위치는 관리자에게만 표시됩니다. 그러나 서버 API의 생성 및 업데이트 엔드포인트는 전송된 "shared" 플래그와 공유 대상 사용자 이름을 저장했으므로, 서버를 등록할 수 있는 모든 사용자가 이를 통해 다른 모든 사용자와 서버를 공유할 수 있었습니다. servers.json 내보내기 기능에도 유사한 결함이 있어, 비관리자의 "Shared" 항목은 유효성 검사 후에만 제거되었기 때문에 잘못된 엔트리를 포함한 파일이 공유된 서버를 생성할 수 있었습니다.
공유된 서버에는 자격 증명이 포함되어 있지 않으므로 직접적인 접근 권한을 제공하지는 않습니다. 그러나 이 취약점을 통해 사용자는 신뢰해 보이는 이름의 서버를 다른 모든 사용자의 트리에 심고, 자신이 제어하는 호스트를 가리키게 할 수 있습니다. 이후 해당 서버에 연결하면 사용자는 자신의 데이터베이스 비밀번호를 그 호스트에 제시하게 됩니다.
이 문제를 해결하기 위해 비관리자가 공유된 서버를 요청할 경우 HTTP 403 응답을 거부하고, servers.json 내보내기 시 비관리자의 공유 항목을 유효성 검사 전에 제거하며, 이전에 비관리자에 의해 공유되었던 서버들에 대해 시작 시 경고 메시지를 표시합니다.
이 문제는 pgAdmin 4의 버전 9.19 이전 버전에 영향을 미칩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.