CVE-2026-7813

pgAdmin 4 sunucu modunda Server Groups, Servers, Shared Servers, Background Processes ve Debugger modüllerini etkileyen bir yetkilendirme zafiyeti bulunmaktadır. Birden fazla uç nokta, kullanıcıya ait nesneleri istek yapan kullanıcının kimliğiyle filtrelemeden getiriyordu. Kimliği doğrulanmış bir kullanıcı, nesne ID'lerini tahmin ederek başka bir kullanıcının özel sunucularına, sunucu gruplarına, arka plan işlemlerine ve debugger fonksiyon argümanlarına erişebiliyordu. Ek olarak, Shared Servers özelliği; kimlik bilgisi sızıntısı (passexec_cmd, passfile, SSL anahtarları), yazılabilir passexec_cmd üzerinden yetki yükseltme (bağlantı kurulurken yürütülen bir kabuk komutu aracılığıyla sahibinin işlem bağlamında rastgele komut çalıştırılmasına izin verme) ve SQLAlchemy oturum mutasyonları yoluyla sahip verilerinin bozulması dahil olmak üzere birden fazla sorun içeriyordu. Birçok sadece sahibe özel alan (passexec_cmd, passexec_expiration, db_res, db_res_type), API üzerinden sahibi olmayan kişiler tarafından yazılabilmekteydi ve ek alanlar (kerberos_conn, tags, post_connection_sql) kullanıcı başına kalıcılığa sahip olmadığından, sahibi olmayan kişilerin yaptığı düzenlemeler sahibin kaydını değiştiriyordu. Düzeltme, erişim kontrolünü yeni bir server_access modülü aracılığıyla merkezileştirir, tüm kullanıcıye ait modelleri UserScopedMixin ile kapsamlandırır, sunucu modunda erişim reddedildiğinde connection_manager üzerinden HTTP 410 döndürür, merge / API yanıtı / ServerManager yolları boyunca sahibi olmayanlar için sadece sahibe özel alanları gizler ve açık bir sadece sahibe özel yazma koruması ekler. Giderme işlemi iki çekme isteği (pull request) ile gerçekleştirilmiştir; her ikisine de referans verilmiştir. Bu sorun şu sürümleri etkilemektedir pgAdmin 4: 9.15 öncesi.