CVE-2026-116239
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W trybie serwera pgAdmin 4 utrzymuje konto dla każdego źródła uwierzytelniania, więc może istnieć ta sama nazwa użytkownika, na przykład jako konto wewnętrzne i konto LDAP. Po uwierzytelnieniu użytkownika za pomocą protokołu LDAP lub Kerberos, pgAdmin wybrał konto, aby zalogować się przy użyciu samej nazwy użytkownika, lub przyjął konto wyszukane w formularzu logowania Flask-Security, bez sprawdzania, czy pochodzi ono ze źródła, które uwierzytelniło użytkownika. Sesja należała zatem do innego konta, z jego rolą, serwerami i zapisanymi hasłami do bazy danych:
- Użytkownik LDAP lub Kerberos, którego nazwa użytkownika odpowiadała kontu wewnętrznemu, został zalogowany jako to konto wewnętrzne, łącznie z kontem administratora utworzonym podczas pierwszej konfiguracji pgAdmin.
- W przypadku uwierzytelniania wewnętrznego wymienionego przed LDAP lub Kerberos w AUTHENTICATION_SOURCES, wewnętrzna weryfikacja formularza logowania wyszukuje konto, którego adres e-mail został wpisany i zachowuje je, nawet jeśli jego hasło nie jest zgodne. Użytkownik protokołu Kerberos może wpisać nazwę użytkownika innego użytkownika protokołu Kerberos i zalogować się jako ten użytkownik, natomiast użytkownik LDAP może zrobić to samo z kontem LDAP, którego adresem e-mail jest jego nazwa użytkownika.
Eksploatacja wymaga prawidłowych poświadczeń dla katalogu LDAP lub dziedziny Kerberos, do używania której skonfigurowano pgAdmin.
Poprawka wyszukuje konto według uwierzytelnionej nazwy użytkownika i źródła, które je uwierzytelniło, i nie używa już konta znalezionego w formularzu logowania dla żadnego źródła poza uwierzytelnianiem wewnętrznym. Uwierzytelnianie wewnętrzne loguje się na tym koncie tylko wtedy, gdy jest to konto wewnętrzne. Nie ma to wpływu na tryb pulpitu.
Ten problem dotyczy pgAdmin 4: przed wersją 9.19.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org