CVE-2026-7813

서버 그룹, 서버, 공유 서버, 백그라운드 프로세스 및 디버거 모듈에 영향을 미치는 pgAdmin 4 서버 모드의 인증 취약점.

여러 엔드포인트가 요청하는 사용자의 ID를 기준으로 필터링하지 않고 사용자 소유 개체를 가져왔습니다. 인증된 사용자는 개체 ID를 추측하여 다른 사용자의 개인 서버, 서버 그룹, 백그라운드 프로세스 및 디버거 함수 인수에 액세스할 수 있습니다.

또한 공유 서버 기능에는 자격 증명 유출(passexec_cmd, passfile, SSL 키), 쓰기 가능한 passexec_cmd(연결을 설정할 때 실행되는 셸 명령)를 통한 권한 상승(소유자의 프로세스 컨텍스트에서 임의 명령 실행을 허용함), SQLAlchemy 세션 변형을 통한 소유자 데이터 손상 등 여러 문제가 포함되어 있습니다. API를 통해 소유자가 아닌 사용자가 여러 소유자 전용 필드(passexec_cmd, passexec_expiration, db_res, db_res_type)에 쓸 수 있었고 추가 필드(kerberos_conn, Tags, post_connection_sql)에는 사용자별 지속성이 부족하여 소유자가 아닌 편집으로 인해 소유자 기록이 변경되었습니다.

수정 사항은 새로운 server_access 모듈을 통해 액세스 제어를 중앙 집중화하고, UserScopedMixin으로 모든 사용자 소유 모델의 범위를 지정하고, 서버 모드에서 액세스가 거부되면 Connection_manager에서 HTTP 410을 반환하고, 병합/API 응답/ServerManager 경로에서 비소유자의 소유자 전용 필드를 억제하고, 명시적인 소유자 전용 쓰기 가드를 추가합니다. 수정은 두 번의 풀 요청으로 이루어졌습니다. 둘 다 참조됩니다.

이 문제는 9.15 이전의 pgAdmin 4에 영향을 미칩니다.