CVE-2026-116240
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W trybie serwera pgAdmin 4 sprawdza ścieżkę do katalogu pamięci użytkownika za pomocą check_access_permission(), która buduje ścieżkę bezwzględną za pomocą get_abs_path(). Następnie kilku wywołujących zastosowało się do ścieżki, którą zbudowali inaczej, więc sprawdzana ścieżka i używana ścieżka mogły nazywać różne pliki:
- Otwarcie pliku w narzędziu do wysyłania zapytań, klucz tajny klienta Google oraz, w systemie Windows, import/eksport danych, tworzenie kopii zapasowych, przywracanie i zapisywanie pliku dołączyły ścieżkę do katalogu przechowywania po usunięciu ukośników wiodących i ukośników odwrotnych. W POSIX ścieżka sprawdzona jako nazwa w pamięci może po usunięciu stać się ścieżką bezwzględną, więc każdy plik, który może odczytać konto pgAdmin, może zostać otwarty; w systemie Windows ścieżka nazywająca dysk odrzucała katalog przechowywania, więc mógł on czytać i zapisywać poza nim.
- Wyświetlenie folderu zdekodowanego po sprawdzeniu ścieżki po raz drugi, więc folder o nazwie zakodowanej jako „..”, który użytkownik może utworzyć, wyświetli dowolny katalog na hoście.
- Pobieranie, usuwanie, zmienianie nazwy i sprawdzanie istnienia pliku dodawało ścieżkę do katalogu przechowywania bez separatora, więc w przypadku wdrożenia, w którym nazwa katalogu przechowywania jednego użytkownika jest przedrostkiem nazwy innego użytkownika, pliki innego użytkownika mogą zostać odczytane, usunięte lub przeniesione; download sprawdził także dołączoną do siebie ścieżkę.
- Utworzenie folderu może spowodować utworzenie go w katalogu innego użytkownika.
Poprawka sprawia, że funkcja check_access_permission() zwraca sprawdzoną ścieżkę, a każdy wywołujący działa na tej ścieżce, raz dekoduje ścieżki folderów oraz otwiera, usuwa i zmienia nazwy plików w zależności od katalogów otwartych z katalogu pamięci bez stosowania dowiązań symbolicznych. Nie ma to wpływu na tryb pulpitu.
Ten problem dotyczy pgAdmin 4: przed wersją 9.19.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org