JVNDB-2026-017075

pgAdmin ProjectのpgAdmin 4における過度な認証試行の不適切な制限に関する脆弱性

pgAdmin 4における過剰な認証試行の不適切な制限（CWE-307）に関する問題です。pgAdminはMAX_LOGIN_ATTEMPTSをカスタムの/authenticate/loginビュー内でのみ強制しています。Flask-Securityのデフォルトの/loginビューは security.init_app()により自動的に登録され、すべてのサーバーでアクセス可能ですが、User.lockedフィールドを参照していませんでした。pgAdminのUserモデルはFlask-SecurityのUserMixin.is_locked()（常に「ロックされていない」と返します）およびFlask-Loginのis_active（lockedではなくactiveカラムのみをチェックします）に依存していました。したがって、/authenticate/login経由でアカウントロックアウトを引き起こした攻撃者は、/loginに有効な資格情報を再送信することでセッションを取得でき、INTERNAL認証ソースを使用するアカウントに対するブルートフォース保護制御を回避可能でした。同様の回避により、/login経由のログイン試行はレート制限されないため、攻撃者はMAX_LOGIN_ATTEMPTSに関係なくINTERNALアカウントに対して無制限のオンラインパスワード推測攻撃を実行できます。修正では、すべての認証経路でlockedカラムを強制するためにUser.is_activeおよびUser.is_locked()をオーバーライドしました。LDAP、OAuth2、Kerberos、およびWebserverユーザーはローカルパスワードを持たず、lockedチェック前にFlask-SecurityのLoginForm.validateで拒否されるため、このバイパスの対象外です。ロックアウト自体も内部限定であり、/authenticate/loginビューはauth_source=INTERNALでフィルタリングされます。この問題はpgAdmin 4の9.15以前のバージョンに影響を及ぼします。

pgAdmin Project

• pgAdmin 4 9.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Account-lockout bypass via Flask-Security default /login view (CVE-2026-7820)  Issue #9904  pgadmin-org/pgadmin4

1. 過度な認証試行の不適切な制限(CWE-307) [その他]

1. CVE-2026-7820

1. National Vulnerability Database (NVD) : CVE-2026-7820

• [2026年05月28日]
    掲載