CVE-2026-116250 : contournement des contrôles de fichiers dans le stockage

Veille sécuritéBackend & données

P3Élevée

En mode serveur, une substitution de lien symbolique ou l’utilisation d’un lien matériel ou d’un tube FIFO dans le stockage pouvait détourner certaines opérations de fichiers effectuées après un contrôle d’accès. Selon l’opération, cela pouvait permettre de lire, écrire ou écraser des fichiers hors du stockage, ou d’importer leur contenu dans une table; l’exploitation exige un accès en écriture au stockage sous-jacent et de gagner une course.

IdentifiantCVE-2026-116250

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif9.19

Source : NVD — CVE-2026-116250

Analyse technique

Le défaut concernait notamment les imports et exports servers.json ainsi que les fichiers transmis à pg_dump, pg_dumpall, pg_restore et psql. Le correctif ouvre les fichiers depuis le répertoire de stockage, composant par composant, avec O_NOFOLLOW, n’accepte que les fichiers réguliers ayant un seul lien et transmet aux utilitaires un descripteur ouvert sous Linux.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-30 à 22:17:05.170+02:00, dans la période demandée. La mise à jour ultérieure du 2026-11-02 n’est pas retenue comme événement de cette période.

ImpactUn attaquant disposant d’un accès en écriture au stockage sous-jacent pouvait tenter de faire effectuer des opérations de lecture ou d’écriture hors du répertoire autorisé, avec les droits du compte système pgAdmin.

Versions affectéespgAdmin 4 antérieur à 9.19

Version corrigée9.19

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.3

Publication2026-10-30T22:17:05.170+02:00

Mise à jour2026-11-02T21:14:53.030+02:00

Action recommandée

Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure et contrôler les droits d’écriture du stockage partagé ou réseau.

Sources

NVD — CVE-2026-116250

Priorisation DFS : P3 · 1 source(s).