CVE-2026-116244 in pgAdmin
Sumário
de VulDB • 31/10/2026
Quando uma conexão do pgAdmin 4 não deveria usar as credenciais delegadas de um usuário Kerberos, o pgAdmin removia KRB5CCNAME de seu ambiente, fazendo com que a biblioteca Kerberos recuasse para o cache de credenciais padrão ou um keytab de cliente da conta do sistema operacional executando o pgAdmin. O libpq então respondia a qualquer servidor que solicitava autenticação GSSAPI com o ticket dessa conta, independentemente do nome de usuário fornecido pelo usuário do pgAdmin; assim, no modo servidor, qualquer usuário poderia se conectar como o principal Kerberos da conta de serviço; gssencmode=disable não impedia isso. No Windows, o SSPI usava o logon da conta de serviço da mesma forma. O psql também era iniciado com o ambiente do pgAdmin, que podia conter um cache de credenciais de outro usuário enquanto esse usuário estava se conectando.
A correção aponta KRB5CCNAME e KRB5_CLIENT_KTNAME para um arquivo que não pode existir exceto durante a conexão autenticada por Kerberos de um usuário com Kerberos, e dá suporte a todas as outras conexões, psql e aos utilitários require_auth=!gss,!sspi e gssencmode=disable, verificados na string de conexão final. O require_auth precisa do libpq 16 ou posterior.
Este problema afeta o pgAdmin 4: antes da versão 9.19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.