CVE-2026-116248 : partage non autorisé de serveurs pgAdmin

Veille sécuritéBackend & données

P4Moyenne

En mode serveur, un utilisateur non administrateur pouvait partager un serveur avec tous les utilisateurs via l’API ou un import, malgré l’interface qui réserve cette action aux administrateurs. Un serveur ainsi ajouté pouvait paraître fiable et inciter d’autres utilisateurs à transmettre leurs identifiants de base de données à un hôte contrôlé par l’attaquant.

IdentifiantCVE-2026-116248

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif9.19

Source : NVD — CVE-2026-116248

Analyse technique

Les points de terminaison de création et de mise à jour acceptaient le paramètre « shared » d’un utilisateur non administrateur; l’import servers.json pouvait également créer un serveur partagé si le fichier contenait une entrée invalide. Le correctif refuse ces demandes avec HTTP 403, supprime les entrées partagées non autorisées avant validation et avertit au démarrage au sujet des serveurs déjà partagés de cette façon.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-30 à 22:17:04.883+02:00, dans la période demandée. La mise à jour ultérieure du 2026-11-02 n’est pas retenue comme événement de cette période.

ImpactUn utilisateur pouvait faire apparaître dans l’arborescence des autres utilisateurs un serveur contrôlé par lui et tenter de leur faire transmettre leurs propres identifiants de base de données. Le serveur partagé ne contenait pas directement les identifiants.

Versions affectéespgAdmin 4 antérieur à 9.19

Version corrigée9.19

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6

Publication2026-10-30T22:17:04.883+02:00

Mise à jour2026-11-02T21:14:53.030+02:00

Action recommandée

Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure et vérifier les serveurs partagés existants.

Sources

NVD — CVE-2026-116248

Priorisation DFS : P4 · 1 source(s).