CVE-2026-116247 in pgAdmin
Sumário
de VulDB • 30/10/2026
Quando um servidor no pgAdmin 4 não tinha arquivo de senha, certificado do cliente ou chave do cliente configurados, ou quando o configurado não podia ser encontrado, o pgAdmin omitia esses parâmetros da conexão e o libpq retornava aos padrões da conta do sistema operacional que executava o pgAdmin: ~/.pgpass, ~/.postgresql/postgresql.crt e postgresql.key, ou PGPASSFILE, PGSSLCERT e PGSSLKEY. No modo servidor, qualquer usuário poderia, portanto, conectar-se a um servidor com as senhas salvas pela conta de serviço ou certificado do cliente, e fornecer apenas uma cópia do seu certificado público era suficiente para que o libpq o associasse à chave privada da conta de serviço. Uma entrada no pg_service.conf ou um nome de banco de dados de manutenção lido como string de conexão pelo pg_dumpall poderia trazer os mesmos arquivos de volta para as utilitários.
A correção atribui a cada um desses parâmetros um valor no modo servidor, o arquivo do próprio usuário ou, caso contrário, um caminho que nunca pode ser aberto, na string de conexão, no ambiente das utilidades e na string de conexão --dbname que tem prioridade sobre uma entrada de serviço. O modo desktop permanece inalterado.
Este problema afeta pgAdmin 4: antes da versão 9.19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.