CVE-2026-7813

pgAdmin 4 server rejimində Server Groups, Servers, Shared Servers, Background Processes və Debugger modullarına təsir edən avtorizasiya zəifliyi. Bir neçə endpoint istifadəçiyə məxsus obyektləri sorğu göndərən istifadəçinin kimliyinə görə filtrləmədən əldə edirdi. Autentifikasiyadan keçmiş istifadəçi obyekt ID-lərini təxmin etməklə başqa istifadəçinin şəxsi serverlərinə, server qruplarına, fon proseslərinə və debugger funksiyasının arqumentlərinə çıxış əldə edə bilərdi. Bundan əlavə, Shared Servers funksiyasında bir neçə problem mövcud idi: etimad məlumatlarının sızması (passexec_cmd, passfile, SSL açarları), yazıla bilən passexec_cmd (bağlantı qurularkən icra olunan shell əmri) vasitəsilə imtiyazların yüksəldilməsi və sahibin proses kontekstində ixtiyari əmrin icrasına imkan verilməsi, həmçinin SQLAlchemy sessiya mutasiyaları vasitəsilə sahibin məlumatlarının korlanması. Bir neçə yalnız sahibə aid sahə (passexec_cmd, passexec_expiration, db_res, db_res_type) API vasitəsilə sahib olmayan şəxslər tərəfindən yazıla bilirdi, əlavə sahələr (kerberos_conn, tags, post_connection_sql) isə istifadəçi üzrə saxlanılmırdı, buna görə sahib olmayan şəxslərin düzəlişləri sahibin qeydini dəyişdirirdi. Düzəliş yeni server_access modulu vasitəsilə giriş nəzarətini mərkəzləşdirir, istifadəçiyə məxsus bütün modelləri UserScopedMixin ilə əhatə edir, server rejimində giriş rədd edildikdə connection_manager-dən HTTP 410 qaytarır, merge / API cavabı / ServerManager yollarında sahib olmayan şəxslər üçün yalnız sahibə aid sahələri gizlədir və yalnız sahib üçün açıq yazma qoruyucusu əlavə edir. Düzəliş iki pull request-də tətbiq edilib; hər ikisinə istinad verilir. Bu problem pgAdmin 4-ə təsir edir: 9.15-dən əvvəl.