pgAdmin 4 v9.19: Actualizare critică pentru remedierea a 15 vulnerabilități de securitate

Echipa de dezvoltare a lansat versiunea pgAdmin 4 v9.19, instrumentul open-source de referință pentru managementul bazelor de date PostgreSQL. Această actualizare este esențială pentru securitatea infrastructurii IT, deoarece remediază 15 vulnerabilități de securitate (identificate între CVE-2026-116238 și CVE-2026-116252) și corectează 136 de erori software.

Remedieri critice de securitate

Cea mai severă vulnerabilitate corectată, CVE-2026-116241, viza o injecție de comenzi la nivel de sistem de operare în instrumentul de Import/Export Data. Aceasta permitea executarea de comenzi arbitrare pe host-ul pgAdmin prin manipularea unei clauze TO PROGRAM într-un export bazat pe interogări, reprezentând o corecție pentru o remediere incompletă anterioară (CVE-2026-17566).

Alte probleme de securitate adresate includ:

• Vulnerabilități de autentificare și acces: CVE-2026-116239 (eroare de login în conturi diferite cu același nume de utilizator în LDAP/Kerberos) și CVE-2026-116238 (ocolirea limitelor de încercări eșuate de login și a verificărilor de schimbare a parolei).
• Gestionarea identităților în modul server: Prevenirea utilizării credențialelor contului de serviciu pgAdmin pentru tuneluri SSH (CVE-2026-116242), identități Kerberos (CVE-2026-116244) sau fișiere de parole și certificate client (CVE-2026-116247).
• Acces neautorizat la fișiere: Corectarea unor probleme de path traversal care permiteau accesul la credențialele altor utilizatori (CVE-2026-116249) și vulnerabilități de tip TOCTOU (time-of-check to time-of-use) în File Manager și instrumentele de Backup/Restore (CVE-2026-116250).
• Expunerea datelor sensibile: Eliminarea parolelor de server din mediul de proces al pgAdmin (CVE-2026-116246) și restricționarea serviciilor de conexiune printr-o listă de permise definită de administrator (CVE-2026-116245).

Noi funcționalități și optimizări

Pe lângă patch-urile de securitate, versiunea 9.19 introduce îmbunătățiri funcționale, precum adăugarea unui nod de Statistici pentru gestionarea statisticilor extinse și posibilitatea de a edita date prin vederi auto-actualizabile. Utilizatorii pot acum exporta rezultatele din Query Tool în formate JSON sau XML, pe lângă CSV.

O schimbare administrativă importantă este înlocuirea comenzilor de execuție a parolelor în format text liber cu o listă de permise (allowlist), definită prin parametrul SERVER_PASSEXEC_COMMANDS, pentru a reduce riscurile de securitate în modul server.