CVE-2026-44719 in mathesar
Sumário
de VulDB • 24/05/2026
Mathesar é um aplicativo web que torna o trabalho com bancos de dados PostgreSQL simples e poderoso. Da versão 0.2.0 até antes da 0.10.0, os métodos collaborators.list, tables.metadata.list, explorations.list e forms.list aceitam um database_id sem verificar se o usuário solicitante era um colaborador desse banco de dados. Um usuário autenticado na mesma instalação do Mathesar poderia usar esses métodos para visualizar metadados gerenciados pelo Mathesar para bancos de dados nos quais ele não era um colaborador. Dependendo do banco de dados e dos recursos em uso, os metadados expostos poderiam incluir mapeamentos de colaboradores, metadados de tabelas, metadados de explorações salvas e metadados de formulários. Para formulários, os metadados expostos incluíam tokens de formulário. Para formulários públicos, a posse do token é equivalente à posse do link do formulário público, o que permite a submissão ao formulário sob a função PostgreSQL configurada para o formulário. Esta vulnerabilidade foi corrigida na versão 0.10.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.