CVE-2026-86863

Źródło uwierzytelniania serwera WWW pgAdmin 4 ma akceptować tożsamość potwierdzoną przez serwer WWW lub odwrotne proxy przed pgAdmin, dostarczaną przez środowisko WSGI/CGI. WebserverAuthentication.get_user() odczytuje config.WEBSERVER_REMOTE_USER z request.environ i gdy to nic nie zwraca, wraca do odczytywania tej samej nazwy bezpośrednio z przychodzących nagłówków żądań HTTP za pomocą request.headers.get(). Przychodzący nagłówek HTTP jest zapisywany przez osobę wysyłającą żądanie, więc każdy klient, który może połączyć się z pgAdmin, może sam dostarczyć ten nagłówek i zostać uwierzytelniony jako dowolna nazwa użytkownika, którą wymieni, włączając w to istniejącego Administratora, bez konieczności podawania hasła lub jakichkolwiek innych danych uwierzytelniających. Wyszukiwanie środowiska może być również realizowane przez nagłówek dostarczony przez klienta za każdym razem, gdy WEBSERVER_REMOTE_USER został skonfigurowany do nazwy z przedrostkiem HTTP_ lub łącznikiem, takiej jak HTTP_X_FORWARDED_USER lub X-Forwarded-User, ponieważ serwery WSGI umieszczają nagłówki przychodzące w środowisku pod dokładnie tymi nazwami. Wdrożenia mają wpływ tylko wtedy, gdy w AUTHENTICATION_SOURCES jest włączony „serwer WWW”.

Poprawka odróżnia prawdziwą zmienną CGI/WSGI od zmiennej pochodzącej z nagłówka i domyślnie ufa tylko tej pierwszej. Tożsamość potwierdzona nagłówkiem jest teraz akceptowana tylko wtedy, gdy operator wyraźnie wyrazi zgodę za pośrednictwem WEBSERVER_REMOTE_USER_FROM_HEADER, żądanie nadejdzie od partnera wymienionego w WEBSERVER_TRUSTED_PROXIES, a po skonfigurowaniu wspólny klucz tajny podany w WEBSERVER_SHARED_SECRET_HEADER pasuje do WEBSERVER_SHARED_SECRET w porównaniu w stałym czasie. Kontrola zaufanego równorzędnego celowo odczytuje rzeczywisty adres równorzędny gniazda, a nie request.remote_addr, ponieważ ProxyFix przepisuje ten ostatni z kontrolowanego przez klienta nagłówka X-Forwarded-For i w przeciwnym razie umożliwiłby atakującemu podanie się za zaufany serwer proxy. W ramach dogłębnej obrony funkcja login() odrzuca teraz każde konto, którego źródło_auth_source nie jest „serwerem internetowym”, więc źle skonfigurowanej bramki zaufania nie można użyć do założenia konta wewnętrznego lub LDAP.

Ten problem dotyczy pgAdmin 4: od 6.2 do 9.18.