PT-2026-141870
CVE-2026-125323
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
pgEdge Control Plane الإصدارات من 0.1.0 إلى 0.10.1
Description
يقوم التطبيق بإنشاء ملفات
pg hba.conf تحتوي على إدخالات ثقة (trust) مدمجة لاتصالات Unix-socket و loopback. نظرًا لأن PostgreSQL يعالج هذا الملف بالتسلسل من الأعلى إلى الأسفل، فإن هذه الإدخالات تلغي القواعد المخصصة المحددة في حقل pg hba conf. عند استخدام منظم systemd، يمكن لأي حساب نظام تشغيل غير مميز على مضيف قاعدة البيانات المصادقة كأي دور في PostgreSQL، بما في ذلك المستخدم الخارق (superuser)، دون تقديم بيانات اعتماد، مما يمنح تحكمًا كاملاً في قواعد البيانات الموجودة على المضيف. في بيئات Docker Swarm، يتطلب ذلك تنفيذ رمز داخل حاوية قاعدة البيانات للوصول إلى المقبس المحلي أو واجهة loopback. لا تتأثر الاتصالات من المضيف إلى منفذ PostgreSQL المنشور لأنها لا تنشأ من 127.0.0.1 أو ::1.Recommendations
تحديث pgEdge Control Plane إلى الإصدار 0.11.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾