CVE-2026-91924

Nome do Software Vulnerável e Versões Afetadas pgweb versões anteriores a 0.17.1

Description A aplicação falha ao implementar verificações de autorização no endpoint 'POST /api/connect' quando a autorização connect-backend está configurada. Isso permite que um invasor ignore o mapeamento de recurso para banco de dados fornecendo um identificador de sessão personalizado e uma URL de conexão. Consequentemente, um invasor pode fornecer strings de conexão de banco de dados arbitrárias para obter acesso não autorizado a outros bancos de dados e serviços internos acessíveis a partir do host.

Recommendations Atualize o pgweb para uma versão posterior a 0.17.0. Restrinja o acesso ao endpoint 'POST /api/connect' para minimizar o risco de exploração.