CVE-2026-116252 : détournement de connexion lors de l’actualisation d’une vue

Veille sécuritéBackend & données

P3Élevée

Lors de l’actualisation d’une vue matérialisée, pgAdmin 4 transmettait le nom de la base à psql sans empêcher libpq de l’interpréter comme une chaîne de connexion complète. Un rôle pouvant créer une base au nom spécialement construit pouvait ainsi détourner la connexion lancée pour l’actualisation vers un hôte de son choix et exposer à cet hôte le mot de passe enregistré de l’utilisateur.

IdentifiantCVE-2026-116252

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif9.19

Source : NVD — CVE-2026-116252

Analyse technique

Les noms de bases contenant « = » ou une URI postgresql:// pouvaient être interprétés par libpq comme des paramètres de connexion et remplacer les réglages fournis par pgAdmin. Le correctif passe le nom par database_conninfo() afin qu’il soit traité strictement comme un nom de base.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-30 à 22:17:05.473+02:00, dans la période demandée. La mise à jour ultérieure du 2026-11-02 n’est pas retenue comme événement de cette période.

ImpactLa connexion d’actualisation pouvait être redirigée vers un hôte contrôlé par le créateur de la base, avec divulgation possible du mot de passe de base de données enregistré et ouverture de connexions depuis l’hôte pgAdmin.

Versions affectéespgAdmin 4 antérieur à 9.19

Version corrigée9.19

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-30T22:17:05.473+02:00

Mise à jour2026-11-02T21:14:53.030+02:00

Action recommandée

Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.

Sources

NVD — CVE-2026-116252

Priorisation DFS : P3 · 1 source(s).