Veille sécuritéBackend & données
P3Élevée
En mode serveur, libpq pouvait utiliser des services de connexion, variables d’environnement ou paramètres hérités du compte système pgAdmin, et donc ses identifiants. La correction de pgAdmin 4 9.19 limite l’utilisation des services à une liste d’autorisation administrateur et retire certaines variables de l’environnement du service.
pgAdmin
IdentifiantCVE-2026-116245
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifpgAdmin 4 9.19
Source : NVD — CVE-2026-116245
Analyse technique
La nouvelle option SERVER_MODE_ALLOWED_SERVICES est vide par défaut; l’avis indique également que le paramètre servicefile est refusé en mode serveur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30T20:17:04.467Z, soit 2026-10-30T22:17:04+02:00, dans la période demandée. La mise à jour ultérieure de la fiche n’est pas retenue comme événement de cette période.
ImpactUn utilisateur pouvait établir une connexion avec des identifiants ou paramètres de connexion appartenant au compte système pgAdmin.
Versions affectéespgAdmin 4 avant 9.19
Version corrigéepgAdmin 4 9.19
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-10-30T22:17:04+02:00
Action recommandée
Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; examiner la configuration SERVER_MODE_ALLOWED_SERVICES et n’autoriser que les services nécessaires.
Sources
Priorisation DFS : P3 · 1 source(s).