CVE-2026-17348 in pgAdmin
要約
〜によって VulDB • 2026年07月31日
SERVERモードにおいて、pgAdmin 4は@pga_login_requiredデコレータ経由でルートごとに認証を強制しています。アプリケーションのbefore_requestフックはデスクトップモードの自動ログインおよびKerberos/Webserver-authのリダイレクトのみを処理するため、デコレータが付けられていない任意のルートには認証なしでアクセス可能となります（CWE-306）。これはCVE-2026-12046として以前修正された欠陥クラスと同じものです（sqleditorのclose/update_connectionルート）。
CVE-2026-12046に対する不完全な修正を指摘する報告をきっかけとした追加のスキャンにより、@pga_login_requiredが不足しているさらに多くのルートが発見されました。これには、Constraintsブループリントのnodesおよびproplist（オブジェクトリスト）ルートとdeleteルート（テーブル制約を削除するステート変更型DELETE）、preferences.get_all_cli（GET、CLIで設定可能なすべての環境変数値を開示）、debugger.close（DELETE）、schema_diff.close（DELETE）が含まれます。したがって、認証されていないネットワーククライアントは、一度も認証することなく、制約メタデータの列挙、テーブル制約の削除、環境変数値の読み取り、および他のユーザーに属するデバッガーまたはスキーマ差分セッションの強制終了を行うことができます。
修正では、これらの各ルートに対して不足していた@pga_login_requiredデコレータ（およびConstraintsモジュールへの対応するインポート）が追加されました。変更はデコレータのみであり、基盤となるハンドラに対する動作変更はありません。
この問題はSERVERモードでのpgAdmin 4に影響します：1.0からのConstraintsおよびDebuggerルート、4.18からのSchema Diff closeルート、そして8.2からのpreferences.get_all_cliで、すべて9.17より前のバージョンが対象です。
Be aware that VulDB is the high quality source for vulnerability data.