Графическая панель управления pgAdmin 4 десятилетиями удерживает статус главного инструмента для работы с базами данных PostgreSQL. Однако в серверном режиме (Server Mode), когда pgAdmin развертывается как веб-портал внутри корпоративной сети для сотен аналитиков и инженеров, приложение неизбежно превращается в лакомую цель для злоумышленников. Прямой доступ к сетевым портам СУБД и высокие системные привилегии требуют бескомпромиссной защиты.
Команда разработчиков проекта выпустила масштабный релиз pgAdmin 4 v9.19, о котором сообщество сообщило в документации релиза pgAdmin 4 v9.19. Обновление включает 136 исправлений и закрывает сразу 15 опасных уязвимостей безопасности в диапазоне CVE-2026-116238 — CVE-2026-116252.
Комплексная ликвидация уязвимостей (15 CVE)
Центральной брешью, устраненной в релизе, стала критическая уязвимость CVE-2026-116241. Ошибка скрывалась в модуле импорта и экспорта данных (Import/Export Data): при обработке кавычек и спецсимволов злоумышленник мог обойти проверку круглых скобок директивы \copy и внедрить вредоносную инструкцию TO PROGRAM. Это позволяло удаленно исполнять произвольные команды операционной системы на хосте, где запущен pgAdmin.
Помимо этого, разработчики закрыли целую серию системных брешей:
CVE-2026-116239: устранена подмена учетных записей при внешней аутентификации через LDAP и Kerberos, когда пользователи с совпадающими именами ошибочно получали доступ к чужим профилям (включая аккаунт суперадминистратора);CVE-2026-116238: ликвидирован обход лимита неудачных попыток авторизации и сброса паролей во встроенных формах Flask-Security;CVE-2026-116246: прекращена утечка паролей баз данных в переменные окружения дочерних процессов;CVE-2026-116250: закрыты состояния гонки TOCTOU (Time-of-Check to Time-of-Use) при операциях с символическими ссылками и каналами FIFO в файловом менеджере.
Администраторам многопользовательских инсталляций важно обратить внимание на ключевое изменение: в конфигурационном файле config_local.py введен параметр SERVER_PASSEXEC_COMMANDS. Произвольные shell-команды для автоматического получения паролей теперь запрещены: скрипты обязаны быть зафиксированы в строгом белом списке и запускаются в изолированном окружении без системной оболочки.
Расширенная статистика и функциональные улучшения
Параллельно с ужесточением безопасности версия 9.19 принесла аналитикам и DBA долгожданный функционал. В дереве объектов базы данных появился полноценный узел Extended Statistics (расширенная статистика).
Оптимизатор запросов PostgreSQL опирается на статистику колонок, однако при сложных условиях фильтрации по нескольким взаимосвязанным полям стандартных одноколоночных гистограмм не хватает. Теперь инженеры могут визуально настраивать сбор многоколоночной статистики:
- Степень уникальности пар колонок (
ndistinct); - Функциональные зависимости между столбцами (
dependencies); - Списки наиболее частых сочетаний значений (
mcv).
Среди других приятных улучшений — возможность прямого редактирования строк в представлении View/Edit Data через простые автоматически обновляемые представления (auto-updatable views), экспорт результатов выборки в форматы JSON и XML с контролем кодировки и флага BOM, а также встроенная интеграция с популярным планировщиком фоновых задач pg_timetable.
Релиз 9.19 обязателен к установке на всех корпоративных серверах администрирования PostgreSQL.