CVE-2026-7820

Nome do Software Vulnerável e Versões Afetadas pgAdmin 4 versões anteriores a 9.15

Description A restrição inadequada de tentativas excessivas de autenticação ocorre porque a configuração MAX LOGIN ATTEMPTS é aplicada apenas no endpoint personalizado '/authenticate/login'. O endpoint '/login' padrão do Flask-Security não verifica o campo User.locked, dependendo de UserMixin.is locked() e is active, que não validam corretamente o status de bloqueio. Isso permite que um invasor ignore a proteção contra força bruta para contas que utilizam a fonte de autenticação INTERNAL, enviando credenciais diretamente para o endpoint '/login', possibilitando ataques de adivinhação de senha online ilimitados. Este problema não afeta usuários autenticados via LDAP, OAuth2, Kerberos ou Webserver, pois estes não possuem senhas locais.

Recommendations Atualize o pgAdmin 4 para a versão 9.15 ou posterior.