Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-522
  • CWE-862

CVE-2026-116245

pgAdmin 4'te sunucu modunda bağlantı servislerinin kısıtlanmaması

pgadmin.org pgAdmin 4

Yüksek 8,2 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
PostgreSQL

Yönetici özeti

Bu açık, pgAdmin üzerinden veritabanlarına yetkisiz erişime yol açabilir ve veri gizliliği ile bütünlüğünü ciddi biçimde tehlikeye atabilir. Etkilenen kurulumların hızla güncellenmesi önerilir.

ÖzetTürkçe

pgAdmin 4, PostgreSQL bağlantı servislerini işletim sistemi hesabındaki servis dosyasından okur; bu dosyadaki girdiler parola veya parola/istemci sertifikası dosyası içerebilir. Sunucu modunda herhangi bir kullanıcı, bir sunucunun Service ayarını veya "service" bağlantı parametresini bu girdilerden birine yönlendirerek o girdinin kimlik bilgileriyle bağlanabilmektedir. Etkilenen sürümler 9.19 öncesi pgAdmin 4 sürümleridir.

Saldırgan ne yapabilir?

Saldırgan, pgAdmin'in çalıştığı sistem hesabına ait servis tanımlarındaki kimlik bilgilerini kullanarak veritabanı sunucularına yetkisiz erişim sağlayabilir ve veri okuyup değiştirebilir.

Kaynaktaki açıklama (İngilizce)

libpq looks a connection service up in the service file of the operating-system account running pgAdmin 4, and an entry there can hold a password or name a password file or client certificate. In server mode any user could set a server's Service, or a "service" connection parameter, to one of those entries and connect with its credentials. A PGPASSWORD or PGSERVICE variable set for that account was likewise used by libpq for every connection without a value of its own and passed on to the utilities, and pg_dumpall read a maintenance database name such as "service=..." as a connection string.

The fix adds the SERVER_MODE_ALLOWED_SERVICES setting, empty by default: in server mode only a listed service can be used, the servicefile parameter is refused, and PGPASSWORD and PGSERVICE are removed from pgAdmin's environment at startup. The allowlist is checked again on the final connection string, and the pg_dumpall database name is wrapped as a connection string.

This issue affects pgAdmin 4: before 9.19.

Ne yapmalı?

  1. pgAdmin 4'ü 9.19 veya daha yeni bir sürüme yükseltin. Üretici
  2. Sunucu modunda kullanılacak servisleri, yapılandırmada SERVER_MODE_ALLOWED_SERVICES ayarıyla açıkça listeleyin; bu ayar varsayılan olarak boştur ve listelenmeyen servisler kullanılamaz. Üretici
  3. Güncellemeden sonra pgAdmin'i yeniden başlatın ve PGPASSWORD ile PGSERVICE ortam değişkenlerinin pgAdmin'in çalıştığı hesapta gereksiz yere tanımlı olmadığını kontrol edin. Genel öneri

Ek önlemler

  • pgAdmin'in çalıştığı sistem hesabının servis dosyasında gereksiz parola veya sertifika bilgisi tutmayın. Genel öneri
  • Veritabanı sunucularında pgAdmin hesaplarına ait olağandışı bağlantı girişimlerini ve kimlik doğrulama hatalarını izleyin. Genel öneri
  • pgAdmin'e erişimi yalnızca gerekli kullanıcılarla sınırlayın ve sunucu modunda çok kullanıcılı erişimi gözden geçirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
pgadmin.org pgAdmin 4 < 9.19 9.19

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.