pgAdmin 4 für Mac

Neue Funktionen

• Problem #9631 - Minimieren und Wiederherstellen des Objekt-Explorers durch erneutes Klicken auf das aktuelle Arbeitsbereichssymbol, ähnlich wie in der VS Code-Seitenleiste, wobei die Auswahl über Aktualisierungen hinweg gespeichert wird. Eine Tastenkombination, standardmäßig Ctrl+Alt+B, erledigt dasselbe und kann über die neue toggle_object_explorer-Präferenz geändert werden.

Hausmeisterdienste

• Problem #10221 - Importieren und Initialisieren der Kerberos-, LDAP-, MFA-, OAuth2- und Webserver-Authentifizierungsanbieter überspringen, es sei denn, SERVER_MODE ist gesetzt, und den Desktop-Modus mit interner Authentifizierung unberührt lassen.
• Problem #10247 - Die Azure-mgmt-resource-Pin entspannen, um 24.0.0 zuzulassen, und die Erhöhung der Abhängigkeiten von Drittanbietern für JavaScript und Python für dieses Release aggregieren.
• Problem #10293 - Den Schema-Diff-Regressions-Test so anpassen, dass er sein eigenes generiertes Skript überprüft, das zuvor ignoriert wurde, sodass ungültig generiertes SQL nicht mehr stillschweigend akzeptiert werden kann.

Fehlerbehebungen

• Problem #9226 - SharedUsername beim Importieren eines gemeinsamen Servers aus einer servers.json-Definition akzeptieren, anstatt auf Username für jeden Server zu bestehen.
• Problem #10155 - Gleichzeitige identische GET-Anfragen hinter getNodeAjaxOptions() teilen, sodass die Spalten-Registerkarte einer breiten Tabelle nicht mehr eine doppelte get_types-Anfrage pro Spaltenzeile auslöst.
• Problem #10179 - Bearbeitbare und löschbare geerbte Spalten im Tabellen-Dialog reparieren: Eine Spalte, die bereits von einem Elternteil geerbt wurde, trägt inheritedfromtable, während eine interaktiv über „Von Tabelle(n) geerbt“ abgerufene Spalte inheritedfrom trägt und noch keine attnum hat, und nur letztere wurde überprüft, nach einem isNew()-Kurzschluss, der die attnum-losen Zeilen als neu behandelte.
• Problem #10180 - Das Dropdown-Menü für den Datentyp auf der erweiterten Definition-Registerkarte des Tabellen-Dialogs reparieren, das jeden Typ anbietet und die bereits auf den Inline-Editor angewandte Typbeschränkung ignoriert.
• Problem #10214 - Den existingSecret-Pfad in der Helm-Bereitstellungsvorlage reparieren.
• Problem #10235 - Ein abschließendes Anführungszeichen aus der ProductVersion des Windows-Installers entfernen, die z.B. als 9.17" gestempelt wurde.
• Problem #10236 - Schema-Diff, das falsche Unterschiede für SERIAL/BIGSERIAL-Spalten meldet, indem die oid der besessenen Sequenz ignoriert wird, und das ungültige ALTER COLUMN ... TYPE bigserial SQL reparieren, das generiert wird, wenn eine solche Spalte tatsächlich abweicht.
• Problem #10237 - Einen replace()-Argumentfehler 2 muss str, nicht None abstürzen, wenn ein serverbezogener Passwort-Exec-Befehl mit einer nur Dienstverbindung (pg_service.conf) verwendet wird, die Host, Port und Benutzername nicht festlegt.
• Problem #10239 - Ein überflüssiges passlib-Pin entfernen, das mit der indirekt erforderlichen libpass in Konflikt steht.
• Problem #10252 - Das Argumentgitter auf der Definition-Registerkarte einer benutzerdefinierten Funktion oder Prozedur reparieren, das sich weigert, eine Zeile im Bearbeitungsmodus zu löschen oder hinzuzufügen.
• Problem #10295 - Die Abhängigkeitsreihenfolge des Skripts, das Schema-Diff generiert, wiederherstellen, die seit dem React-Port verloren gegangen war, da dependLevel nicht gesetzt war.
• Problem #10297 - Schema-Diff, das jede Spalte dupliziert, die ebenfalls abweicht, wenn es eine Fremdtabelle neu erstellt.
• Problem #10298 - Schema-Diff, das SQL generiert, das PostgreSQL ablehnt, wenn der MINVALUE einer Sequenz über ihren aktuellen Wert erhöht wird.
• Problem #10300 - Eine von Schema-Diff hinzugefügte Fremdtabelle-Spalte verliert ihre Sortierung.
• Problem #10302 - Schema-Diff, das Leerzeichen in einen angewendeten Funktions- oder Prozedurkörper injiziert, wodurch ein Leerzeichen-unterschied zurückbleibt.
• Problem #10303 - Einen Schema-Diff-Vergleich, der mitten im Prozess fehlschlägt, als Fehler melden, anstatt als Erfolg.
• Problem #10309 - Einen leeren oder null Username beim Importieren eines nicht gemeinsamen Servers ablehnen, der zuvor sauber importiert wurde und einen Server hinterließ, den libpq stillschweigend als das OS-Konto, das pgAdmin ausführt, authentifizieren würde.
• Problem #10311 - Anmelden gegen Flask-Security-Too 5.8.2 unmöglich machen, das eine langanhaltende Umkehrung in UserMixin.is_locked() korrigierte, gegen die User.is_locked() geschrieben wurde.
• Problem #10341 - Die überflüssige TABLESPACE pg_default-Klausel aus dem generierten Index-SQL weglassen, die auf einer partitionierten Tabelle ungültig war.
• Problem #10383 - Einen Authentifizierungsumgehung im Webserver-Authentifizierungsmodus reparieren, bei dem get_user() auf das konfigurierte WEBSERVER_REMOTE_USER-Namen aus den Anforderungsheadern zurückfiel, wenn es im WSGI-Umfeld fehlte, wodurch jeder Client, der pgAdmin erreichen konnte, jede Identität, einschließlich der eines Administrators, behaupten konnte (CVE-2026-86863). Die header-behauptete Identität ist jetzt opt-in, beschränkt auf eine konfigurierte Liste vertrauenswürdiger Proxys mit einem optionalen gemeinsamen Geheimnis, und wird für Konten, deren Authentifizierungsquelle nicht der Webserver ist, abgelehnt. Gemeldet von Sanghyeon Lee (@h9e0n).
• Problem #10384 - Argument- und Verbindungszeichenfolgeninjektion im Backup-Tool reparieren, bei dem der vom Client bereitgestellte Datenbankname als bare Positionsargument an den pg_dump-Argumentvektor angehängt wurde: da getopt_long Argumente permutiert, wurde ein Wert, der mit einem Bindestrich begann, weitergehende Optionen wie --file bereitgestellt, die den speicherbeschränkten Ausgabepfad überschrieben, und da libpq einen Datenbanknamen, der ein Gleichheitszeichen enthält, in eine vollständige Verbindungszeichenfolge erweitert, konnte man auch die Verbindung zu einem von einem Angreifer kontrollierten Host umleiten und das gespeicherte Passwort exfiltrieren (CVE-2026-86864). Der Datenbankname wird jetzt stattdessen über die PGDATABASE-Umgebungsvariable übergeben. Gemeldet von Sanghyeon Lee (@h9e0n) und Hitesh Jambhale.
• Problem #10385 - Einen Zeit-zu-Prüfen-zu-Zeit-zu-Verwenden-Fehler im save_file-Endpunkt des Dateimanagers reparieren, der das Speichern aus dem Abfrage-Tool und ERD unterstützt: Der angeforderte Pfad wurde mit check_access_permission() validiert und dann mit einem einfachen open() geöffnet, sodass ein dazwischen gepflanzter symbolischer Link verfolgt wurde, der außerhalb des Speicherverzeichnisses schrieb. Dies ist das Sink CVE-2026-7819, dessen Härtung des separaten Upload-Pfades nicht abgedeckt wurde (CVE-2026-86861). Gemeldet von sec-rex.
• Problem #10388 - Verbindungszeichenfolgeninjektion in den Wiederherstellungs- und Wartungstools reparieren, bei dem der vom Client bereitgestellte Datenbankname direkt an --dbname übergeben wurde: libpq erweitert einen Datenbanknamen, der ein Gleichheitszeichen enthält, in eine vollständige Verbindungszeichenfolge, deren eingebettete Schlüsselwörter die --host- und --port-Parameter, die pgAdmin bereitstellt, überschreiben, sodass die Verbindung - und das gespeicherte Passwort, das in PGPASSWORD exportiert wird - zu einem Server der Wahl des Anrufers umgeleitet werden konnten (CVE-2026-86862). Der Datenbankname wird jetzt über die PGDATABASE-Umgebungsvariable übergeben, die libpq niemals erweitert. Gefunden von Hitesh Jambhale.
• Problem #10393 - Den Dialog zur Validierung des binären Pfades als HTML rendern, anstatt das rohe Markup anzuzeigen.
• Problem #10420 - HTTP-Weiterleitungen bei LLM-API-Anfragen ablehnen, anstatt einem Location-Header zu einem Ziel zu folgen, auf das ALLOWED_LLM_API_URLS nie angewendet wurde. Dies ist eine Härtung und kein Fix für einen ausnutzbaren Fehler, da die Rückgabe der Weiterleitung überhaupt die Kontrolle über einen bereits auf der Zulassungsliste stehenden Host erfordert. Gemeldet von Ziya Abdullayev.

Vollständige Liste der Änderungen verfügbar hier