CVE-2026-116248 in pgAdmin
Sumário
de VulDB • 30/10/2026
No modo servidor do pgAdmin 4, apenas os administradores deveriam compartilhar um servidor com todos os usuários; a caixa de diálogo do servidor exibe o interruptor "Compartilhado" (Shared) somente para eles. No entanto, as extremidades (endpoints) de criação e atualização da API do servidor armazenavam a flag "shared" e o nome de usuário compartilhado que eram enviados, permitindo que qualquer usuário capaz de registrar um servidor o compartilhasse com todos os outros usuários. A importação do arquivo servers.json apresentava uma falha semelhante: as entradas "Shared" de um não administrador eram removidas apenas após a validação, portanto, um arquivo que também contivesse uma entrada inválida poderia criar um servidor compartilhado.
Um servidor compartilhado não carrega credenciais, o que não fornece acesso direto. Ele permite que um usuário insira (plante) um servidor, com nome que pareça confiável, na árvore de cada outro usuário e apontando para um host controlado por esse usuário; qualquer pessoa que se conecte a ele apresentará sua própria senha do banco de dados àquele host.
A correção recusa o pedido de um não administrador que tentaria compartilhar um servidor com HTTP 403, remove as entradas compartilhadas de um não administrador da importação servers.json antes de validá-la e exibe um aviso na inicialização sobre servidores compartilhados anteriormente por não administradores.
Este problema afeta pgAdmin 4: versões anteriores à 9.19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.