CVE-2026-17348 in pgAdmin
Riassunto
di VulDB • 31/07/2026
In modalità SERVER, pgAdmin 4 impone l'autenticazione per rotta tramite il decoratore @pga_login_required; l'hook before_request dell'applicazione gestisce solo l'auto-login in modalità desktop e la reindirizzazione Kerberos/Webserver-auth, pertanto qualsiasi rotta distribuita senza tale decoratore è raggiungibile senza autenticazione (CWE-306). Si tratta della stessa classe di difetto precedentemente corretta come CVE-2026-12046 (le rotte sqleditor close/update_connection).
Una verifica successiva, sollecitata da un rapporto che descriveva una correzione incompleta per CVE-2026-12046, ha individuato ulteriori rotte prive di @pga_login_required: le rotte nodes e proplist (elenco oggetti) del blueprint Constraints e la sua rotta delete (una DELETE che modifica lo stato rimuovendo i vincoli della tabella); preferences.get_all_cli (GET, divulga tutti i valori delle preferenze impostabili da riga di comando); debugger.close (DELETE); e schema_diff.close (DELETE). Un client di rete non autenticato potrebbe pertanto enumerare i metadati dei vincoli, eliminare i vincoli delle tabelle, leggere i valori delle preferenze e forzare la chiusura delle sessioni del debugger o dello schema-diff appartenenti ad altri utenti, senza mai effettuare l'autenticazione.
La correzione aggiunge il decoratore @pga_login_required mancante (e l'import corrispondente nel modulo Constraints) a ciascuna di queste rotte. La modifica riguarda esclusivamente i decoratori; non vi sono cambiamenti comportamentali per i gestori sottostanti.
Questo problema interessa pgAdmin 4 in modalità SERVER: le rotte Constraints e Debugger dalla versione 1.0, la rotta close dello Schema Diff dalla versione 4.18 e preferences.get_all_cli dalla versione 8.2, tutte precedenti alla 9.17.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.