El equipo de desarrollo de pgAdmin se complace en anunciar la versión 9.19 de pgAdmin 4, la cual incluye 136 correcciones de errores y nuevas características, entre ellas las soluciones aplicadas a 15 vulnerabilidades de seguridad (CVE-2026-116238 a CVE-2026-116252). Para más detalles consulten las notas de la versión.

pgAdmin es la principal herramienta de código abierto para la gestión gráfica de PostgreSQL. Para más información, visiten el sitio web.

Entre los cambios más destacados de esta versión figuran:

Características

• Se añade un nodo de Estadísticas que permite crear y administrar estadísticas extendidas.
• Ahora es posible editar datos mediante vistas simples que admiten actualizaciones automáticas desde la función Ver/Editar datos.
• Los resultados de la Herramienta de consultas ahora pueden guardarse en formatos JSON y XML, además de CSV. También es posible seleccionar la codificación, incluir opcionalmente una marca de orden de bytes (BOM) y utilizar la opción ‘Copiar con encabezados’.
• Se añade soporte para administrar cadenas y tareas de pg_timetable.
• En el modo servidor, los comandos de ejecución de contraseñas (Password Exec Commands) introducidos como texto libre se sustituyen por una lista de comandos permitidos, SERVER_PASSEXEC_COMMANDS, definida por el administrador. Estos comandos se ejecutan sin utilizar un shell y con un entorno de ejecución restringido. Es necesario configurar SERVER_PASSEXEC_COMMANDS antes del primer inicio después de actualizar.
• Se añade pgEdge Starfleet al asistente para desplegar instancias en la nube (Deploy Cloud Instance).
• Se permite omitir la página de inicio de sesión cuando OAuth2 es el único método de autenticación disponible.

Correcciones de seguridad

• Se corrige una vulnerabilidad de inyección de comandos del sistema operativo en la herramienta de importación/exportación de datos. El problema permitía que una exportación basada en consultas introdujera una cláusula TO PROGRAM ejecutable, evitando la protección de paréntesis de \copy mediante el uso de una barra invertida dentro de un identificador entre comillas dobles. Esto podía permitir la ejecución de comandos arbitrarios en el servidor de pgAdmin. La vulnerabilidad se debía a una corrección incompleta de CVE-2026-17566 (CVE-2026-116241).
• Se soluciona un problema en la autenticación mediante LDAP y Kerberos que podía provocar que un usuario iniciara sesión en otra cuenta con el mismo nombre de usuario, incluida la cuenta del administrador inicial (CVE-2026-116239).
• Se corrigen varias vulnerabilidades que permitían eludir el límite de intentos fallidos de inicio de sesión y las verificaciones de seguridad de pgAdmin relacionadas con el acceso, el cambio y el restablecimiento de contraseñas. Estos controles podían evitarse mediante las vistas de Flask-Security, así como por problemas en el tratamiento de mayúsculas y minúsculas en los nombres de usuario y en la gestión de una segunda fuente de autenticación (CVE-2026-116238).
• Se corrigen problemas en las rutas de los archivos de conexión y en las claves de los parámetros que permitían acceder a ubicaciones fuera del directorio de almacenamiento del usuario. Esto podía hacer posible que un usuario se conectara utilizando las credenciales o la clave de otro usuario (CVE-2026-116249).
• Se evita que, en modo servidor, libpq utilice como alternativa el archivo de contraseñas o el certificado de cliente de la cuenta de servicio de pgAdmin (CVE-2026-116247).
• Se restringen los servicios de conexión en modo servidor a una lista de servicios permitidos, definida por el administrador mediante SERVER_MODE_ALLOWED_SERVICES (CVE-2026-116245).
• Se impide que libpq utilice las credenciales Kerberos de la cuenta de servicio de pgAdmin cuando se ejecuta en modo servidor (CVE-2026-116244).
• Se impide que los túneles SSH utilicen la identidad SSH asociada a la cuenta de servicio de pgAdmin en modo servidor (CVE-2026-116242).
• Se corrige un problema en la validación de las rutas de los ejecutables de las utilidades, que permitía aceptar rutas dentro de SHARED_STORAGE. Esto hacía posible que un usuario colocara un archivo en esa ubicación y consiguiera que pgAdmin lo ejecutara (CVE-2026-116243).
• Se corrige un problema que provocaba que las contraseñas de los servidores quedaran expuestas en las variables de entorno del proceso de pgAdmin, lo que podía permitir que otras sesiones de usuario o herramientas las heredaran (CVE-2026-116246).
• Se soluciona una vulnerabilidad que permitía a cualquier usuario autorizado registrar servidores y compartirlos con todos los demás usuarios cuando pgAdmin funcionaba en modo servidor (CVE-2026-116248).
• Se corrige un error que hacía que el Administrador de archivos y las herramientas de gestión de rutas de almacenamiento trabajaran con una ruta distinta de la que se había comprobado previamente (CVE-2026-116240).
• Se solucionaron condiciones de carrera de tipo Time-of-Check to Time-of-Use relacionadas con enlaces simbólicos, enlaces físicos y FIFO, que afectaban a las rutas de archivos utilizadas por el Administrador de archivos y las funciones de importación/exportación de servidores, respaldos, restauración e importación/exportación de datos (CVE-2026-116250).
• Se corrige un problema por el cual las demás sesiones de un usuario continuaban activas incluso después de cambiar su contraseña o de que un administrador la restableciera (CVE-2026-116251).
• Se soluciona una vulnerabilidad de redirección de conexiones durante la actualización de vistas materializadas, en la que libpq interpretaba un nombre de base de datos manipulado como una cadena de conexión completa (CVE-2026-116252).

Corrección de errores/Mantenimiento

• Se corrigen varios problemas en la herramienta de comparación de esquemas (Schema Diff), relacionados con las conversiones de SERIAL y BIGSERIAL, los cambios de nombre en los argumentos de funciones, la repetición de comentarios de columnas y opciones de identidad, y la detección de diferencias inexistentes debido a columnas eliminadas en tablas referenciadas.
• Se soluciona un problema que impedía que la función Ver/Editar datos (View/Edit Data) gestionara correctamente las columnas generadas.
• Se corrige un error que provocaba la eliminación del privilegio MAINTAIN sin mostrar ninguna advertencia para las vistas y vistas materializadas en PostgreSQL 17 y versiones posteriores.
• Se corrigen los errores de autenticación con Kerberos que generaban una respuesta JSON con código de error 500, así como un problema que provocaba el rechazo de los primeros intentos de inicio de sesión de usuarios de Kerberos creados automáticamente.
• Se soluciona un problema en Query Tool que hacía que los archivos abiertos con codificación Latin-1 u otra codificación distinta de UTF-8 se guardaran incorrectamente en formato UTF-8.
• Se corrige un problema en los paquetes para Linux que incluían una copia innecesaria de Python e impedían instalar el paquete DEB en Ubuntu 26.04.

Ya están disponibles las versiones para Windows, macOS, Python Wheel, contenedor Docker, RPM, paquete DEB y el código fuente en formato tarball en la sección de descargas.