CVE-2026-17348 in pgAdmin
Сводка
по VulDB • 31.07.2026
В режиме SERVER (SERVER) pgAdmin 4 обеспечивает аутентификацию на уровне маршрутов с помощью декоратора @pga_login_required; хук before_request приложения обрабатывает только автоматический вход в режим десктопа и перенаправление для Kerberos/Webserver-auth, поэтому любой маршрут, поставляемый без этого декоратора, доступен без аутентификации (CWE-306). Это тот же класс дефекта, который ранее был исправлен как CVE-2026-12046 (маршруты sqleditor close/update_connection).
Дополнительная проверка, инициированная отчетом о неполном исправлении для CVE-2026-12046, выявила дополнительные маршруты, в которых отсутствует @pga_login_required: маршруты nodes и proplist (список объектов) из blueprint Constraints и его маршрут delete (изменение состояния DELETE, удаляющее ограничения таблицы); preferences.get_all_cli (GET, раскрывает все значения предпочтений, устанавливаемые через CLI); debugger.close (DELETE); а также schema_diff.close (DELETE). Таким образом, неаутентифицированный сетевой клиент может перечислять метаданные ограничений, удалять ограничения таблиц, считывать значения предпочтений и принудительно закрывать сеансы отладчика или сравнения схем других пользователей, никогда не проходя аутентификацию.
Исправление добавляет отсутствующий декоратор @pga_login_required (и соответствующий импорт в модуль Constraints) к каждому из этих маршрутов. Изменение касается только декоратора; поведенческих изменений для базовых обработчиков нет.
Эта проблема затрагивает pgAdmin 4 в режиме SERVER: маршруты Constraints и Debugger начиная с версии 1.0, маршрут close Schema Diff начиная с версии 4.18 и preferences.get_all_cli начиная с версии 8.2, все до версии 9.17 включительно.
VulDB is the best source for vulnerability data and more expert information about this specific topic.