CVE-2026-116245
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Libpq wyszukuje usługę połączenia w pliku usług konta systemu operacyjnego, na którym działa pgAdmin 4, i znajdujący się tam wpis może zawierać hasło, nazwę pliku haseł lub certyfikat klienta. W trybie serwera każdy użytkownik może ustawić usługę serwera lub parametr połączenia „usługi” na jeden z tych wpisów i połączyć się przy użyciu jego poświadczeń. Zmienna PGPASSWORD lub PGSERVICE ustawiona dla tego konta była również używana przez libpq dla każdego połączenia bez własnej wartości i przekazywana do narzędzi, a pg_dumpall odczytywał nazwę bazy danych konserwacji, taką jak „service=…” jako ciąg połączenia.
Poprawka dodaje ustawienie SERVER_MODE_ALLOWED_SERVICES, domyślnie puste: w trybie serwera można używać tylko wymienionych usług, parametr servicefile jest odrzucany, a PGPASSWORD i PGSERVICE są usuwane ze środowiska pgAdmin podczas uruchamiania. Lista dozwolonych jest sprawdzana ponownie w końcowych parametrach połączenia, a nazwa bazy danych pg_dumpall jest opakowana jako parametry połączenia.
Ten problem dotyczy pgAdmin 4: przed wersją 9.19.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org