pgAdmin 4: Sperrmechanismus umgehbar, unbegrenzte Passwortversuche im Servermodus
Zusammenfassung
Im Servermodus sperrt pgAdmin 4 einen internen Account nach einer festgelegten Anzahl fehlgeschlagener Anmeldungen, diese Sperre lässt sich jedoch umgehen. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann in der Standardkonfiguration unbegrenzt Passwörter für beliebige interne Accounts raten, auch für den Administrator-Account. Die Umgehung nutzt die eigenen Views von Flask-Security für Login, Verify, Change und Reset sowie einen Benutzernamen in abweichender Gross-/Kleinschreibung. Der Desktop-Modus ist nicht betroffen.
Betroffen
- pgAdmin 4 vor 9.19 im Servermodus
- Der Desktop-Modus ist nicht betroffen
Behoben in
- Behoben in pgAdmin 4 9.19
Umgehung
- Der Hersteller dokumentiert keine Workaround-Massnahme; das Upgrade auf 9.19 ist die Behebung.
- Falls ein Upgrade nicht sofort möglich ist, den Zugriff auf die Weboberfläche im Servermodus einschränken (VPN oder IP-Allowlist) und Anmeldeanfragen für alle pgAdmin-Anmeldepfade am Reverse Proxy ratenbegrenzen.
Ausnutzung
- Der Hersteller und die CNA haben keine Ausnutzung gemeldet.
- OffSeq meldet, dass die Schwachstelle nicht als ausgenutzt bekannt ist und nicht im CISA-KEV-Katalog steht.
- Kein öffentlicher Proof-of-Concept gefunden. Darüber hinaus unbekannt.
Unsere Empfehlung
- Alle pgAdmin-Instanzen finden und prüfen, welche im Servermodus laufen.
- Auf pgAdmin 4 9.19 oder neuer aktualisieren; diese Version behebt zusätzlich 14 weitere CVEs.
- Aus dem Internet erreichbare Instanzen priorisieren.
- Prüfen, ob interne Account-Passwörter, insbesondere jenes des Administrators, stark sind und nicht mehrfach verwendet werden.
- Logs auf wiederholte fehlgeschlagene Anmeldungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit: Count every failed internal login, lock only internal authentication github.com
- Fix commit: Act only on the internal account when accounts share an email github.com
- Fix commit (third) github.com
- pgAdmin 4 v9.19 release announcement www.postgresql.org
- pgAdmin issue #10676 github.com
- VulDB entry 429359 vuldb.com
- OffSeq threat radar entry radar.offseq.com
- Strix CVE-2026-116238 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:51.
Referenzen der NVD (4)
- https://github.com/pgadmin-org/pgadmin4/commit/35c9235d17a7d5a99778f01b2f1b9e5e3a3b7fde
- https://github.com/pgadmin-org/pgadmin4/commit/58c531d831179dc9b0a5bf873ccb80c71c8d387a
- https://github.com/pgadmin-org/pgadmin4/commit/c6ef41a951012cd877a1992b5dac681eec36e48d
- https://github.com/pgadmin-org/pgadmin4/issues/10676
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.