JVNDB-2026-027065

pgAdmin ProjectのpgAdmin 4における重要な機能に対する認証の欠如に関する脆弱性

SERVERモードでは、pgAdmin 4は@pga_login_requiredデコレーターを用いてルートごとに認証を強制しています。しかし、アプリケーションのbefore_requestフックはデスクトップモードの自動ログインとKerberos/Webサーバ認証のリダイレクトのみを処理しているため、このデコレーターが付与されていないルートには認証なしでアクセス可能となっています（CWE-306）。これは以前にCVE-2026-12046として修正された欠陥クラス（sqleditorのclose/update_connectionルート）と同様の問題です。CVE-2026-12046の不完全な修正を指摘された報告により実施された追加の調査で、@pga_login_requiredデコレーターが付いていないルートがさらに発見されました。具体的には、Constraintsブループリントのnodesおよびproplist（オブジェクト一覧）ルートと、削除用ルート（テーブル制約を削除する状態を変更するDELETEメソッド）、preferences.get_all_cli（GETでCLIから設定可能な全てのプリファレンス値を公開）、debugger.close（DELETE）、およびschema_diff.close（DELETE）です。したがって、未認証のネットワーククライアントは認証せずに制約のメタデータを列挙したり、テーブル制約を削除したり、プリファレンス値を読み取ったり、他ユーザーのデバッガーやスキーマ差分セッションを強制終了したりできてしまいます。修正では、これらの各ルートに欠けていた@pga_login_requiredデコレーターおよび対応するConstraintsモジュールへのインポートを追加しました。動作はデコレーターの追加のみで、基盤となるハンドラーの挙動は変更していません。この問題はSERVERモードのpgAdmin 4に影響します。対象は1.0以降のConstraintsおよびDebuggerルート、4.18以降のSchema Diffのcloseルート、および8.2以降のpreferences.get_all_cliで、いずれも9.17以前のバージョンです。

pgAdmin Project

• pgAdmin 4 1.0 以上 9.17 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Missing authentication on Constraints, Preferences, Debugger and Schema Diff routes in SERVER mode (CVE-2026-17348)  Issue #10194  pgadmin-org/pgadmin4

1. 重要な機能に対する認証の欠如(CWE-306) [その他]

1. CVE-2026-17348

1. National Vulnerability Database (NVD) : CVE-2026-17348
2. 関連文書 : fix(security): add missing auth decorators to Constraints/preferences…  pgadmin-org/pgadmin4@24fdcf0  GitHub

• [2026年08月06日]
    掲載