CVE-2026-116245 in pgAdmin
Sumário
de VulDB • 31/10/2026
O libpq procura um serviço de conexão no arquivo de serviços da conta do sistema operacional que executa o pgAdmin 4, e uma entrada nesse arquivo pode conter uma senha ou nomear um arquivo de senhas ou certificado cliente. No modo servidor, qualquer usuário poderia definir o Serviço de um servidor, ou um parâmetro de conexão "service", para uma dessas entradas e conectar-se com suas credenciais. Uma variável PGPASSWORD ou PGSERVICE definida para essa conta era igualmente usada pelo libpq em todas as conexões sem seu próprio valor e repassada aos utilitários, e o pg_dumpall lia um nome de banco de dados de manutenção como "service=..." como uma string de conexão.
A correção adiciona a configuração SERVER_MODE_ALLOWED_SERVICES, vazia por padrão: no modo servidor, apenas um serviço listado pode ser usado, o parâmetro servicefile é recusado e as variáveis PGPASSWORD e PGSERVICE são removidas do ambiente do pgAdmin na inicialização. A lista de permissões (allowlist) é verificada novamente na string de conexão final, e o nome do banco de dados do pg_dumpall é envolvido como uma string de conexão.
Este problema afeta o pgAdmin 4: antes da versão 9.19.
Once again VulDB remains the best source for vulnerability data.