pgAdmin 4 9.19, 15 güvenlik açığını kapatıyor

Öne çıkanlar

• pgAdmin 4 v9.19, 136 hata düzeltmesi ve yeni özellik getiriyor. 15 güvenlik açığı (CVE-2026-116238 – CVE-2026-116252) kapatılıyor.
• Düzeltmelerden biri, Import/Export Data aracındaki işletim sistemi komut enjeksiyonunu kapatıyor (CVE-2026-116241). Bu yama, CVE-2026-17566 için yapılan eski düzeltmenin eksik kalan kısmını tamamlıyor. Diğer bazı düzeltmeler başka bir kullanıcının kimlik bilgisiyle bağlantı kurulmasını veya paylaşımlı depolamadaki bir dosyanın çalıştırılmasını engelliyor.
• Server mode’da yönetici tanımlı izin listeleri geliyor. Yükseltme sonrası ilk başlatmadan önce SERVER_PASSEXEC_COMMANDS ayarlanmalı. SERVER_MODE_ALLOWED_SERVICES ise bağlantı servislerini kısıtlıyor.

pgAdmin geliştirme ekibi pgAdmin 4 sürüm 9.19’u duyurdu. pgAdmin, PostgreSQL için önde gelen açık kaynak grafiksel yönetim aracı. Sürüm 136 hata düzeltmesi ve yeni özellik içeriyor. Bunların arasında CVE-2026-116238’den CVE-2026-116252’ye kadar numaralanmış 15 güvenlik açığı düzeltmesi var. Windows ve macOS kurulumları hazır. Python Wheel, Docker container, RPM, DEB paketi ve kaynak kodu da indirme sayfasında.

Ayrıntılar

CVE-2026-116241, Import/Export Data aracındaki işletim sistemi komut enjeksiyonu. Sorgu tabanlı bir dışa aktarım, çift tırnaklı tanımlayıcıdaki bir ters eğik çizgi sayesinde TO PROGRAM ifadesini \copy parantez denetiminden geçirip pgAdmin’in çalıştığı makinede istediği komutu çalıştırabiliyordu. Bu yama, CVE-2026-17566 için yapılan eski düzeltmenin eksik kalan kısmını tamamlıyor.

Bir grup düzeltme hesap ve kimlik doğrulama suistimaline dokunuyor. CVE-2026-116239, LDAP ve Kerberos doğrulamasında kullanıcı adı aynı olan başka bir hesaba, ilk yönetici dahil, giriş yapılabilmesini kapatıyor. CVE-2026-116238, Flask-Security görünümleri ve kullanıcı adındaki büyük/küçük harf farkları üzerinden başarısız giriş limitini ve pgAdmin’in giriş, parola değiştirme, parola sıfırlama denetimlerini atlatma yollarını kapatıyor. CVE-2026-116251, parola değişikliği ya da yönetici sıfırlamasından sonra kullanıcının diğer oturumlarının açık kalmasını engelliyor.

Birkaç düzeltme server mode’da kullanıcılar arası erişimi kapatıyor. CVE-2026-116249, kullanıcının depolama dizininden çıkabilen bağlantı dosya yollarını ve parametre anahtarlarını düzeltiyor. Bu açık, başka bir kullanıcının kimlik bilgisi ya da anahtarıyla bağlantı kurulmasına izin veriyordu. CVE-2026-116248, sunucu kaydedebilen her kullanıcının bu sunucuyu tüm kullanıcılara paylaşabilmesini engelliyor. CVE-2026-116243, SHARED_STORAGE altındaki yolları kabul eden binary yol denetimini düzeltiyor. Kullanıcı oraya yerleştirdiği bir dosyayı pgAdmin’e çalıştırabiliyordu. CVE-2026-116240, File Manager ve depolama yolu araçlarının denetlenen yoldan farklı bir yolda işlem yapmasını önlüyor. CVE-2026-116250 ise File Manager, Import/Export Servers, Backup, Restore ve Import/Export Data dosya yollarındaki symlink, hard-link ve FIFO yarışlarını (time-of-check to time-of-use) kapatıyor.

Sertleştirme adımları, servis hesabının ayrıcalıklarını kullanıcı bağlantılarından uzaklaştırıyor. libpq, server mode’da artık pgAdmin servis hesabının kendi parola dosyasına ve istemci sertifikasına geri dönmüyor (CVE-2026-116247). Kerberos kimlik bilgilerini de kullanmıyor (CVE-2026-116244). SSH tünelleri servis hesabının SSH kimliğini kullanamıyor (CVE-2026-116242). Sunucu paroları pgAdmin’in süreç ortamında bırakılmıyor. Böylece başka bir kullanıcının oturumu ya da aracı bu parolaları devralamıyor (CVE-2026-116246). Materialized view yenilemesinde hazırlanmış bir veritabanı adının libpq ile tam bağlantı dizesine genişletilmesi de engelleniyor (CVE-2026-116252). Server mode’daki serbest metin Password Exec Commands, yönetici tanımlı SERVER_PASSEXEC_COMMANDS izin listesiyle değişiyor. Komutlar shell olmadan ve daraltılmış bir ortamda çalışıyor. Bağlantı servisleri de server mode’da SERVER_MODE_ALLOWED_SERVICES izin listesine bağlanıyor (CVE-2026-116245).

Güvenliğin ötesinde v9.19; genişletilmiş istatistikler için bir Statistics düğümü, basit otomatik güncellenebilir görünümler üzerinden veri düzenleme, sorgu aracı sonuçlarını seçilebilir kodlama ve isteğe bağlı BOM ile JSON ya da XML olarak kaydetme, pg_timetable zincir ve görev yönetimi ekliyor. OAuth2 tek doğrulama kaynağıysa giriş sayfası atlanabiliyor. Deploy Cloud Instance sihirbazına pgEdge Starfleet eklendi. Önemli hata düzeltmeleri arasında Schema Diff sorunları (SERIAL/BIGSERIAL dönüşümleri, yeniden adlandırılmış fonksiyon parametreleri, silinen bir kolonun yol açtığı yanlış farklar), generated kolonlarla ilgili View/Edit Data hatası, PostgreSQL 17 ve sonrasında görünümlerden ve materialized view’lardan sessizce düşen MAINTAIN izni ve Ubuntu 26.04’te DEB kurulumunu engelleyen fazladan Python kopyası var.

Arka plan

pgAdmin, PostgreSQL için önde gelen açık kaynak grafiksel yönetim aracı ve server mode tek örnek üzerinde çok sayıda kullanıcı ağırlıyor. Kapatılan CVE’lerin birçoğu, bir kullanıcının başka bir kullanıcının kimlik bilgisi, oturumu ya da dosyalarına uzanmasıyla ilgili.

Neden önemli

pgAdmin’i server mode’da çalıştırıyorsanız komut enjeksiyonu (CVE-2026-116241) ve kullanıcılar arası kimlik bilgisi/oturum düzeltmelerini önce inceleyin. Yeni izin listeleri başlatma davranışını da değiştiriyor.

Ne yapmalı

• pgAdmin 4’ü 9.19 sürümüne güncelleyin.
• Yükseltme sonrası ilk başlatmadan önce SERVER_PASSEXEC_COMMANDS’u ayarlayın. Serbest metin parola komutları artık çalışmıyor.
• Server mode’da bağlantı servisi kullanmanız gerekiyorsa SERVER_MODE_ALLOWED_SERVICES’i tanımlayın.
• OAuth2 tek doğrulama kaynağıysa giriş sayfasının atlandığını bilin.