CVE-2026-17348

SERVER modunda, pgAdmin 4 her rota için @pga_login_required dekoratörü aracılığıyla kimlik doğrulamayı zorunlu kılar; uygulamanın before_request kancası yalnızca masaüstü modu otomatik oturum açmayı ve Kerberos/Webserver-auth yönlendirmesini işler, bu nedenle dekoratör olmadan gönderilen herhangi bir rotaya kimlik doğrulama olmadan erişilebilir (CWE-306). Bu, daha önce CVE-2026-12046 (sqleditor close/update_connection rotaları) olarak düzeltilen aynı kusur sınıfıdır. CVE-2026-12046 için eksik bir düzeltmeyi tanımlayan bir raporun tetiklediği takip taraması, @pga_login_required eksik olan başka rotalar buldu: Constraints blueprint'inin nodes ve proplist (nesne listeleme) rotaları ve delete rotası (tablo kısıtlamalarını kaldıran durum değiştiren bir DELETE); preferences.get_all_cli (GET, tüm CLI ile ayarlanabilir tercih değerlerini açığa çıkarır); debugger.close (DELETE); ve schema_diff.close (DELETE). Bu nedenle kimlik doğrulaması yapılmamış bir ağ istemcisi, hiç kimlik doğrulaması yapmadan kısıtlama meta verilerini numaralandırabilir, tablo kısıtlamalarını silebilir, tercih değerlerini okuyabilir ve diğer kullanıcılara ait debugger veya schema-diff oturumlarını zorla kapatabilirdi. Düzeltme, bu rotaların her birine eksik @pga_login_required dekoratörünü (ve Constraints modülüne karşılık gelen import'u) ekler. Değişiklik yalnızca dekoratörle ilgilidir; temel işleyicilerde davranış değişikliği yoktur. Bu sorun, SERVER modunda pgAdmin 4'ü etkiler: Constraints ve Debugger rotaları 1.0'dan, Schema Diff close rotası 4.18'den ve preferences.get_all_cli 8.2'den itibaren, tümü 9.17 öncesinde.