CVE-2026-116238
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W trybie serwera pgAdmin 4 blokuje konto wewnętrzne po MAX_LOGIN_ATTEMPTS nieudanych logowań (domyślnie 3). Limit można ominąć, dając nieuwierzytelnionemu atakującemu nieograniczoną liczbę odgadnięć haseł do dowolnego konta wewnętrznego, w tym konta administratora, w domyślnej konfiguracji:
- Flask-Security rejestruje swoje własne poglądy obok pgAdmina. Login przesłany do widoku /login został sprawdzony i zalogowany bez zliczania nieudanych logowań lub blokady pgAdmin. Jego widok /verify sprawdzał hasło zalogowanego użytkownika bez ograniczeń, jego widok /change zmieniał hasło bez pozwolenia pgAdmina na zmianę hasła lub ponownego szyfrowania zapisanych haseł serwera użytkownika, a jego widoki /reset wysyłały i stosowane resetowały hasła dla kont, które nie są wewnętrzne lub są zablokowane.
- Konto wewnętrzne zostało sprawdzone według dokładnej nazwy użytkownika, natomiast formularz logowania odpowiada e-mailowi, ignorując wielkość liter, więc logowanie z nazwą użytkownika wpisaną w innym przypadku nie zostało zliczone ani sprawdzone pod kątem blokady.
- W przypadku skonfigurowania uwierzytelniania LDAP lub serwera WWW błędne hasło wewnętrzne nigdy nie było liczone, a przy skonfigurowaniu uwierzytelniania Kerberos lub serwera WWW odpowiedź na pytanie można było uzyskać bez liczenia.
Ponadto, jeśli konta z różnych źródeł uwierzytelniania mają ten sam adres e-mail, można wysłać reset hasła lub zastosować go do konta z innego źródła, a w polu Informacje zostanie wyświetlona konfiguracja serwera użytkownikowi, którego adres e-mail jest adresem konta administratora.
Poprawka uniemożliwia przesyłanie danych do własnych widoków Flask-Security, zlicza każde nieudane logowanie wewnętrzne, niezależnie od tego, jak zostanie wpisana nazwa użytkownika i niezależnie od skonfigurowanych innych źródeł, nie pozwala już, aby login, który wysyła hasło, powrócił do źródła uwierzytelnienia, które go nie sprawdza, i blokuje tylko uwierzytelnianie wewnętrzne. Resetowanie hasła i pole Informacje działają wyłącznie na wewnętrznym koncie użytkownika. Nie ma to wpływu na tryb pulpitu.
Ten problem dotyczy pgAdmin 4: przed wersją 9.19.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/pgadmin-org/pgadmin4/commit/35c9235d17a7d5a99778f01b2f1b9e5e3a3b7fde
- https://github.com/pgadmin-org/pgadmin4/commit/58c531d831179dc9b0a5bf873ccb80c71c8d387a
- https://github.com/pgadmin-org/pgadmin4/commit/c6ef41a951012cd877a1992b5dac681eec36e48d
- https://github.com/pgadmin-org/pgadmin4/issues/10676
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org