JVNDB-2026-017082

pgAdmin ProjectのpgAdmin 4におけるアクセス制御に関する脆弱性

pgAdmin 4サーバーモードにおける認可の脆弱性であり、サーバーグループ、サーバー、共有サーバー、バックグラウンドプロセス、デバッガーモジュールに影響します。複数のエンドポイントが、要求元ユーザーの識別でフィルタリングせずにユーザー所有オブジェクトを取得していました。認証済みユーザーは、オブジェクトIDを推測することで他のユーザーのプライベートサーバー、サーバーグループ、バックグラウンドプロセス、デバッガーの関数引数にアクセス可能でした。さらに、共有サーバー機能には複数の問題が含まれており、認証情報の漏洩（passexec_cmd、passfile、SSLキー）が発生しました。書き込み可能なpassexec_cmd（接続確立時に実行されるシェルコマンド）を介した特権昇格により、所有者のプロセスコンテキストで任意のコマンドを実行可能でした。SQLAlchemyセッションの変異による所有者データの破損も確認されています。いくつかの所有者限定フィールド（passexec_cmd、passexec_expiration、db_res、db_res_type）はAPI経由で非所有者によって書き込み可能であり、追加のフィールド（kerberos_conn、tags、post_connection_sql）はユーザーごとの永続性を欠いており、非所有者の編集により所有者のレコードが変更されていました。修正は、新しいserver_accessモジュールによるアクセス制御の集中化、UserScopedMixinによるすべてのユーザー所有モデルのスコープ設定、サーバーモードでアクセス拒否時にconnection_managerからHTTP 410を返す処理、merge / APIレスポンス / ServerManagerパスにおける非所有者向けの所有者限定フィールドの抑制、明示的な所有者限定書き込みガードの追加により行われました。修正は2つのプルリクエストで提供され、両者が参照されています。この問題はpgAdmin 4のバージョン9.15未満に影響を与えます。

pgAdmin Project

• pgAdmin 4 9.15 未満

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 不適切なアクセス制御(CWE-284) [その他]

1. CVE-2026-7813

1. National Vulnerability Database (NVD) : CVE-2026-7813
2. 関連文書 : fix: SharedServer feature parity columns and write guards by asheshv  Pull Request #9835  pgadmin-org/pgadmin4  GitHub
3. 関連文書 : fix: enforce data isolation and harden shared servers in server mode by asheshv  Pull Request #9830  pgadmin-org/pgadmin4  GitHub

• [2026年05月28日]
    掲載