ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
في وضع الخادم، يقوم pgAdmin 4 قفل حساب داخلي بعد MAX_LOGIN_ATTEMPTS تسجيل دخول فاشل (3 افتراضياً). يمكن تجاوز الحد، مما يمنح مهاجماً دون مصادقة عدد غير محدود من تخمينات كلمات المرور ضد أي حساب داخلي، بما في ذلك حساب المسؤول، في التكوين الافتراضي: - يسجل Flask-Security عروضه الخاصة بجانب عروض pgAdmin. تم فحص وتسجيل دخول تسجيل الدخول المرسل إلى عرض /login الخاص به دون عد تسجيل الدخول الفاشل أو قفل pgAdmin. فحص عرضه /verify كلمة المرور لمستخدم مسجل الدخول بلا حدود، وغیر عرضه /change كلمة المرور دون إذن تغيير كلمة المرور في pgAdmin أو إعادة تشفير كلمات مرور الخادم المحفوظة للمستخدم، وأرسل عرضه /reset وطبق عمليات إعادة تعيين كلمة المرور للحساباتที่ไม่ تكون داخلية أو مقفلة. - تم البحث عن الحساب الداخلي بواسطة اسم مستخدَمِه الدقيق، بينما يطابق نموذج تسجيل الدخول البريد الإلكتروني مع تجاهل حالة الأحرف، لذا فإن تسجيل الدخول مع كتابة اسم المستخدم بحالة أحرف أخرى لم يتم احتسابه ولم يتم التحقق من قفله. - مع تكوين مصادقة LDAP أو خادم الويب أيضاً، لم يتم احتساب كلمة المرور الداخلية الخاطئة أبداً، ومع تكوين مصادقة Kerberos أو خادم الويب، يمكن الرد على التخميس دون احتسابه. بالإضافة إلى ذلك، حيث تتشارك الحسابات من مصادر مصادقة مختلفة في عنوان بريد إلكتروني، يمكن إرسال إعادة تعيين كلمة المرور أو تطبيقها على حساب من مصدر آخر، وأظهر مربع "حول" تكوين الخادم لمستخدم كان بريده الإلكتروني هو بريد حساب المسؤول. يرفض الإصلاح عمليات الإرسال إلى عروض Flask-Security الخاصة، ويحسب كل تسجيل دخول داخلي فاشل بغض النظر عن طريقة كتابة اسم المستخدم وأي مصادر أخرى تكوينها، ولم يعد يسمح لتسجيل دخول يرسل كلمة مرور بالرجوع إلى مصدر مصادقة لا يتحقق منه، ويقفل المصادقة الداخلية فقط. تعمل عمليات إعادة تعيين كلمة المرور ومربع "حول" على حساب المستخدم الداخلي الخاص به فقط. وضع سطح المكتب غير متأثر. تؤثر هذه المشكلة على pgAdmin 4: قبل الإصدار 9.19.
المعالجة
المراجع
- تصحيحhttps://github.com/pgadmin-org/pgadmin4/commit/35c9235d17a7d5a99778f01b2f1b9e5e3a3b7fde
- تصحيحhttps://github.com/pgadmin-org/pgadmin4/commit/58c531d831179dc9b0a5bf873ccb80c71c8d387a
- تصحيحhttps://github.com/pgadmin-org/pgadmin4/commit/c6ef41a951012cd877a1992b5dac681eec36e48d
- مرجعhttps://github.com/pgadmin-org/pgadmin4/issues/10676