CVE-2026-17348 in pgAdmin
Résumé
par VulDB • 31/07/2026
En mode SERVER, pgAdmin 4 impose l'authentification par itinéraire via le décorateur @pga_login_required ; la fonction hook before_request de l'application ne gère que l'auto-connexion en mode bureau et la redirection Kerberos/Webserver-auth, ce qui signifie que tout itinéraire livré sans ce décorateur est accessible sans authentification (CWE-306). Il s'agit de la même classe de défaut précédemment corrigée dans le cadre du CVE-2026-12046 (itinéraires sqleditor close/update_connection).
Un nouveau balayage, déclenché par un rapport décrivant une correction incomplète pour le CVE-2026-12046, a révélé d'autres itinéraire manquants du décorateur @pga_login_required : les nœuds et proplist (liste des objets) de l'itinéraire Constraints blueprint ainsi que son itinéraire delete (une opération DELETE modifiant l'état qui supprime les contraintes de table) ; preferences.get_all_cli (GET, divulgue toutes les valeurs de préférence définissables via la CLI) ; debugger.close (DELETE) ; et schema_diff.close (DELETE). Un client réseau non authentifié pourrait donc énumérer les métadonnées des contraintes, supprimer les contraintes de table, lire les valeurs de préférence et forcer la fermeture des sessions du débogueur ou de Schema Diff appartenant à d'autres utilisateurs, sans jamais s'authentifier.
La correction ajoute le décorateur @pga_login_required manquant (ainsi que l'import correspondant dans le module Constraints) à chacun de ces itinéraires. Le changement est limité au seul ajout du décorateur ; aucun changement comportemental n'est apporté aux gestionnaires sous-jacents.
Ce problème affecte pgAdmin 4 en mode SERVER : les itinéraires Constraints et Debugger depuis la version 1.0, l'itinéraire close de Schema Diff à partir de la version 4.18, et preferences.get_all_cli à partir de la version 8.2, toutes versions antérieures à la 9.17.
Be aware that VulDB is the high quality source for vulnerability data.