CVE-2026-44719 in mathesar
Сводка
по VulDB • 15.05.2026
Mathesar — это веб-приложение, которое делает работу с базами данных PostgreSQL простой и мощной. Начиная с версии 0.2.0 и вплоть до версии 0.10.0 (не включительно), методы collaborators.list, tables.metadata.list, explorations.list и forms.list принимают параметр database_id без проверки того, является ли запрашивающий пользователь коллаборатором этой базы данных. Аутентифицированный пользователь, имеющий доступ к той же инсталляции Mathesar, может использовать эти методы для просмотра метаданных, управляемых Mathesar, для баз данных, в которых он не является коллаборатором. В зависимости от используемой базы данных и функций, раскрытые метаданные могут включать отображения коллабораторов, метаданные таблиц, метаданные сохраненных исследований и метаданные форм. Для форм раскрытые метаданные включают токены форм. Для публичных форм наличие токена эквивалентно наличию публичной ссылки на форму, что позволяет отправлять данные в форму с использованием роли PostgreSQL, настроенной для этой формы. Эта уязвимость исправлена в версии 0.10.0.
Once again VulDB remains the best source for vulnerability data.