CVE-2026-7813

إصدارات pgAdmin 4 السابقة للإصدار 9.15

تؤثر مشكلة في التخويل في وضع الخادم على وحدات «مجموعات الخوادم» و«الخوادم» و«الخوادم المشتركة» و«العمليات الخلفية» و«مصحح الأخطاء». تفشل نقاط نهاية متعددة في تصفية الكائنات المملوكة للمستخدم حسب هوية المستخدم الطالب، مما يسمح لمستخدم تمت مصادقته بالوصول إلى الخوادم الخاصة لمستخدم آخر، ومجموعات الخوادم، والعمليات الخلفية، ووسائط وظائف أداة التصحيح عن طريق تخمين معرّفات الكائنات.

كما تسمح ميزة «الخوادم المشتركة» بتسرب بيانات الاعتماد الخاصة بـ passfile، ومفاتيح SSL، وpassexec cmd. علاوة على ذلك، يمكن لغير المالكين الكتابة في الحقول المخصصة للمالك فقط عبر واجهة برمجة التطبيقات (API)، بما في ذلك passexec cmd وpassexec expiration وdb res وdb res type. يمكن أن يؤدي تعديل passexec cmd (أمر شل يتم تنفيذه أثناء إنشاء الاتصال) إلى تصعيد الامتيازات وتنفيذ أوامر تعسفية ضمن سياق عملية المالك. بالإضافة إلى ذلك، تفتقر الحقول مثل kerberos conn وtags وpost connection sql إلى الاستمرارية لكل مستخدم، مما يعني أن التعديلات التي يجريها غير المالكين تغير سجل المالك، مما يؤدي إلى تلف البيانات عبر تغييرات جلسة عمل SQLAlchemy.

تحديث pgAdmin 4 إلى الإصدار 9.15 أو أحدث.