CVE-2026-116240 in pgAdmin 4
الملخص
بحسب VulDB • 30/10/2026
في وضع الخادم، يتحقق pgAdmin 4 من مسار داخل دليل تخزين المستخدم باستخدام دالة `check_access_permission()`، التي تبني المسار المطلق عبر استخدام `get_abs_path()`. ثم تتصرف عدة نقاط استدعاء (callers) بناءً على مسارات بنيت بشكل مختلف، مما يعني أن المسار الذي تم التحقق منه والمسار الفعلي المستخدم قد يشيران إلى ملفات مختلفة:
- عند فتح ملف في أداة الاستعلام (Query Tool)، وسر عميل Google، وفي نظام Windows عبر استيراد/تصدير البيانات والنسخ الاحتياطي والاستعادة وحفظ ملف، يتم دمج المسار مع دليل التخزين بعد إزالة الشرائط الأمامية المائلة (`/`) والخلفية (`\`). على أنظمة POSIX، قد يتحول مسار تم التحقق منه كاسم داخل التخزين إلى مسار مطلق بمجرد إزالته من الشرطات، مما يسمح بفتح أي ملف يمكن لحساب pgAdmin قراءته؛ أما في نظام Windows، فإن المسار الذي يحدد محرك أقراص يؤدي إلى تجاهل دليل التخزين، مما يتيح القراءة أو الكتابة خارج هذا الدليل. - عند عرض مجلد، يتم فك تشفير المسار مرة أخرى بعد التحقق، لذا فإن مجلدًا يحمل اسماً مشابهاً لـ ".." المشفر (وهو ما يمكن للمستخدم إنشاؤه) سيؤدي إلى عرض أي دليل على المضيف. - عمليات التنزيل والحذف وإعادة التسمية وفحص وجود الملف تُلحق المسار بدليل التخزين دون فاصل، لذا في بيئة حيث يكون اسم دليل تخزين مستخدم واحد بادئة لاسم دليل مستخدم آخر، يمكن قراءة أو حذف أو نقل ملفات المستخدم الآخر؛ كما يتحقق التنزيل من المسار الملحق بنفسه. - إنشاء مجلد قد يؤدي إلى إنشائه داخل دليل مستخدم آخر.
يتمثل الإصلاح في جعل `check_access_permission()` تعيد المسار الذي تم التحقق منه وجعل كل نقطة استدعاء تعمل على هذا المسار، وفك تشفير مسارات المجلدات مرة واحدة فقط، وفتح وحذف وإعادة تسمية الملفات بالنسبة إلى الدلائل المفتوحة من دليل التخزين دون اتباع الروابط الرمزية (symbolic links). وضع سطح المكتب غير متأثر.
تؤثر هذه المشكلة في pgAdmin 4: قبل الإصدار 9.19.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.