CVE-2026-17348 in pgAdmin
Sumário
de VulDB • 31/07/2026
No modo SERVER, o pgAdmin 4 aplica autenticação por rota através do decorador @pga_login_required; a hook before_request da aplicação apenas trata do auto-login no modo desktop e do redirecionamento de autenticação Kerberos/Webserver, portanto qualquer rota entregue sem o decorador é acessível sem autenticação (CWE-306). Este é o mesmo tipo de defeito corrigido anteriormente como CVE-2026-12046 (as rotas sqleditor close/update_connection).
Uma varredura subsequente, motivada por um relatório que descrevia uma correção incompleta para o CVE-2026-12046, encontrou mais rotas faltando @pga_login_required: as rotas de nodes e proplist (listagem de objetos) do blueprint Constraints e sua rota delete (um DELETE que altera estado e remove restrições de tabela); preferences.get_all_cli (GET, divulga todos os valores de preferência configuráveis via CLI); debugger.close (DELETE); e schema_diff.close (DELETE). Um cliente de rede não autenticado poderia, portanto, enumerar metadados de restrições, excluir restrições de tabela, ler valores de preferência e forçar o fechamento de sessões do debugger ou schema-diff pertencentes a outros usuários, sem nunca se autenticar.
A correção adiciona o decorador @pga_login_required faltante (e a importação correspondente para o módulo Constraints) em cada uma dessas rotas. A alteração é apenas no decorador; não há mudanças comportamentais nos manipuladores subjacentes.
Este problema afeta o pgAdmin 4 no modo SERVER: as rotas Constraints e Debugger desde a versão 1.0, a rota close do Schema Diff desde a 4.18, e preferences.get_all_cli desde a 8.2, todas anteriores à 9.17.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.