CVE-2026-17348

SERVER rejimində pgAdmin 4, @pga_login_required dekoratoru vasitəsilə hər marşrut üçün autentifikasiyanı təmin edir; tətbiqin before_request hook-u yalnız masaüstü rejimi avto-girişini və Kerberos/Webserver-auth yönləndirməsini idarə edir, buna görə də dekoratorsuz göndərilən hər hansı marşruta autentifikasiyasız daxil olmaq mümkündür (CWE-306). Bu, əvvəllər CVE-2026-12046 kimi düzəldilmiş (sqleditor close/update_connection marşrutları) eyni qüsurlar sinfinə aiddir. CVE-2026-12046 üçün natamam düzəlişi təsvir edən hesabatla bağlı aparılan növbəti yoxlama zamanı @pga_login_required dekoratorunun çatışmadığı digər marşrutlar aşkar edilmişdir: Constraints blueprint-inin nodes və proplist (obyekt siyahısı) marşrutları və onun silmə marşrutu (cədvəl məhdudiyyətlərini silən və vəziyyəti dəyişdirən DELETE sorğusu); preferences.get_all_cli (GET, bütün CLI ilə təyin edilə bilən üstünlük dəyərlərini açıqlayır); debugger.close (DELETE); və schema_diff.close (DELETE). Beləliklə, autentifikasiya olunmamış şəbəkə kliyenti heç bir vaxt autentifikasiyadan keçmədən məhdudiyyət meta-məlumatlarını sadalayabilir, cədvəl məhdudiyyətlərini silə bilir, üstünlük dəyərlərini oxuya bilir və digər istifadəçilərə aid debugger və ya schema-diff sessiyalarını məcburi şəkildə bağlaya bilir. Düzəliş bu marşrutların hər birinə çatışmayan @pga_login_required dekoratorunu (və müvafiq importu Constraints moduluna) əlavə edir. Dəyişiklik yalnız dekoratora aiddir; alt handler-lərin davranışında heç bir dəyişiklik edilməmişdir. Bu problem SERVER rejimindəki pgAdmin 4 versiyalarına təsir edir: 1.0 versiyasından etibarən Constraints və Debugger marşrutlarına, 4.18 versiyasından etibarən Schema Diff close marşrutuna və 8.2 versiyasından etibarən preferences.get_all_cli funksiyasına, hamısı 9.17 versiyasına qədər olan versiyalarda təsir göstərir.