pgAdmin 4 para Mac

Nuevas características

• Problema #9631 - Colapsar y restaurar el Explorador de Objetos volviendo a hacer clic en el ícono del espacio de trabajo actual, de la manera de la barra lateral de VS Code, recordando la elección a través de las actualizaciones. Un atajo de teclado, Ctrl+Alt+B por defecto, hace lo mismo y se puede cambiar a través de la nueva preferencia toggle_object_explorer.

Mantenimiento

• Problema #10221 - Omitir la importación e inicialización de los proveedores de autenticación kerberos, ldap, mfa, oauth2 y webserver a menos que SERVER_MODE esté configurado, dejando el modo de escritorio con autenticación interna solo.
• Problema #10247 - Relajar el pin de azure-mgmt-resource para permitir 24.0.0, y agregar los aumentos de dependencias de JavaScript y Python de terceros para esta versión.
• Problema #10293 - Hacer que la prueba de regresión de Schema Diff afirme su propio script generado, que anteriormente tragaba, para que el SQL generado inválido ya no pueda pasar silenciosamente.

Correcciones de errores

• Problema #9226 - Aceptar SharedUsername al importar un servidor compartido de una definición servers.json, en lugar de insistir en Username para cada servidor.
• Problema #10155 - Compartir solicitudes GET idénticas concurrentes detrás de getNodeAjaxOptions() para que la pestaña Columnas de una tabla amplia ya no dispare una solicitud get_types duplicada por cada fila de columna.
• Problema #10179 - Corregir columnas heredadas en el cuadro de diálogo de la Tabla que son editables y eliminables: una columna ya heredada de un padre lleva inheritedfromtable mientras que una obtenida interactivamente a través de 'Heredado de tabla(s)' lleva inheritedfrom y aún no tiene attnum, y solo se verificó esta última, después de un isNew() que trató las filas sin attnum como nuevas.
• Problema #10180 - Corregir el menú desplegable de Tipo de datos en la pestaña de Definición expandida del cuadro de diálogo de la Tabla que ofrece todos los tipos, ignorando la restricción de tipo permitido ya aplicada al editor en línea.
• Problema #10214 - Corregir la ruta existingSecret en la plantilla de implementación de Helm.
• Problema #10235 - Eliminar una comilla final del ProductVersion del instalador de Windows, que fue estampada como e.g. 9.17".
• Problema #10236 - Corregir Schema Diff que informa diferencias falsas para columnas SERIAL/BIGSERIAL al ignorar el oid de la secuencia poseída, y corregir el ALTER COLUMN ... TYPE bigserial SQL generado cuando tal columna realmente difiere.
• Problema #10237 - Corregir un argumento de replace() que debe ser str, no None, que causa un fallo cuando se utiliza un comando de ejecución de contraseña por servidor con una conexión solo de servicio (pg_service.conf), que deja el host, puerto y nombre de usuario sin establecer.
• Problema #10239 - Eliminar un pin redundante de passlib que entra en conflicto con el libpass requerido indirectamente.
• Problema #10252 - Corregir la cuadrícula de argumentos en la pestaña de Definición de una función o procedimiento definido por el usuario que se niega a eliminar o agregar una fila en modo de edición.
• Problema #10295 - Reinstaurar el orden de dependencia del script que genera Schema Diff, que se había perdido desde que el puerto React dejó dependLevel sin establecer.
• Problema #10297 - Corregir Schema Diff duplicando cualquier columna que también difiera cuando recrea una tabla externa.
• Problema #10298 - Corregir Schema Diff generando SQL que PostgreSQL rechaza cuando el MINVALUE de una secuencia se eleva por encima de su valor actual.
• Problema #10300 - Corregir una columna de tabla externa añadida por Schema Diff que pierde su collation.
• Problema #10302 - Corregir Schema Diff inyectando espacios en blanco en un cuerpo de función o procedimiento aplicado, que dejó una diferencia solo de espacios en blanco.
• Problema #10303 - Informar una comparación de Schema Diff que falla a mitad de camino como un fallo, en lugar de como un éxito.
• Problema #10309 - Rechazar un nombre de usuario vacío o nulo al importar un servidor no compartido, que anteriormente se importaba sin problemas y dejaba un servidor que libpq autenticaría silenciosamente como la cuenta del sistema operativo que ejecuta pgAdmin.
• Problema #10311 - Corregir que el inicio de sesión sea imposible contra Flask-Security-Too 5.8.2, que corrigió una inversión de larga data en UserMixin.is_locked() contra la que se había escrito User.is_locked().
• Problema #10341 - Omitir la cláusula redundante TABLESPACE pg_default del SQL de índice generado, que era inválido en una tabla particionada.
• Problema #10383 - Corregir un bypass de autenticación en modo de autenticación de servidor web, donde get_user() volvía a leer el nombre WEBSERVER_REMOTE_USER configurado de los encabezados de solicitud cuando estaba ausente del entorno WSGI, permitiendo que cualquier cliente que pudiera alcanzar pgAdmin afirmara cualquier identidad, incluida la de un administrador (CVE-2026-86863). La identidad afirmada por encabezado ahora es opt-in, restringida a una lista configurada de proxies de confianza con un secreto compartido opcional, y se niega para cuentas cuya fuente de autenticación no es el servidor web. Reportado por Sanghyeon Lee (@h9e0n).
• Problema #10384 - Corregir la inyección de argumentos y cadenas de conexión en la herramienta de Backup, donde el nombre de base de datos proporcionado por el cliente se añadía al vector de argumentos de pg_dump como un argumento posicional desnudo: debido a que getopt_long permuta argumentos, un valor que comienza con un guion proporcionaba opciones adicionales como --file, sobrescribiendo la ruta de salida restringida al almacenamiento, y debido a que libpq expande un nombre de base de datos que contiene un signo igual en una cadena de conexión completa, también se podría redirigir la conexión a un host controlado por un atacante y exfiltrar la contraseña almacenada (CVE-2026-86864). El nombre de la base de datos ahora se pasa a través de la variable de entorno PGDATABASE en su lugar. Reportado por Sanghyeon Lee (@h9e0n) y Hitesh Jambhale.
• Problema #10385 - Corregir un defecto de tiempo de verificación a tiempo de uso en el endpoint save_file del Administrador de Archivos, que respalda el guardado desde la Herramienta de Consulta y ERD: la ruta solicitada se validó con check_access_permission() y luego se abrió con un open() simple, por lo que se siguió un enlace simbólico plantado en medio, escribiendo fuera del directorio de almacenamiento. Este es el sumidero que la consolidación de CVE-2026-7819 de la ruta de carga separada no cubrió (CVE-2026-86861). Reportado por sec-rex.
• Problema #10388 - Corregir la inyección de cadenas de conexión en las herramientas de Restauración y Mantenimiento, donde el nombre de base de datos proporcionado por el cliente se pasaba directamente a --dbname: libpq expande un nombre de base de datos que contiene un signo igual en una cadena de conexión completa, cuyas palabras clave incrustadas sobrescriben el --host y --port que pgAdmin proporciona, por lo que la conexión - y la contraseña almacenada exportada en PGPASSWORD - podrían redirigirse a un servidor de elección del llamador (CVE-2026-86862). El nombre de la base de datos ahora se pasa a través de la variable de entorno PGDATABASE, que libpq nunca expande. Encontrado por Hitesh Jambhale.
• Problema #10393 - Renderizar el diálogo de ruta binaria de Validar como HTML, en lugar de mostrar el marcado en bruto.
• Problema #10420 - Rechazar redirecciones HTTP en solicitudes de API LLM, en lugar de seguir un encabezado de Ubicación a un destino ALLOWED_LLM_API_URLS que nunca se aplicó. Esto es un endurecimiento en lugar de una corrección para un defecto explotable, ya que devolver la redirección en absoluto requiere el control de un host ya en la lista de permitidos. Reportado por Ziya Abdullayev.

Lista completa de cambios disponible aquí