مستغلة: 178
الأحدثCVE-2026-121609 — بيانات اعتماد مُضمنة مسبقًا في برنامج تشغيل الإقلاع mpt start لـ Qihoo 360 Whole Home Router M5
VulnFeed.org
AREN
8.2
CVE-2026-116245يتوفر تصحيح

pgAdmin 4: خدمات الاتصال غير مقيدة في وضع الخادم

pgadmin.org pgAdmin 4قراءة 1 داقرأ بلغة

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تقوم libpq بالبحث عن خدمة اتصال في ملف الخدمة لحساب نظام التشغيل الذي يشغل pgAdmin 4، ويمكن أن يحتوي إدخال هناك على كلمة مرور أو يحدد ملف كلمة مرور أو شهادة عميل. في وضع الخادم، يمكن لأي مستخدم تعيين خدمة الخادم، أو معلمة اتصال "service"، إلى أحد هذه الإدخالات والاتصال ببيانات اعتماده. تم استخدام متغير PGPASSWORD أو PGSERVICE المعين لهذا الحساب بالمثل بواسطة libpq لكل اتصال ليس له قيمته الخاصة وتم تمريره إلى الأدوات المساعدة، وقرأ pg_dumpall اسم قاعدة بيانات الصيانة مثل "service=..." ك سلسلة اتصال. يضيف الإصلاح إعداد SERVER_MODE_ALLOWED_SERVICES، وهو فارغ افتراضياً: في وضع الخادم، يمكن استخدام الخدمة المدرجة فقط، ويتم رفض معلمة servicefile، ويتم إزالة PGPASSWORD وPGSERVICE من بيئة pgAdmin عند البدء. يتم التحقق من القائمة المسموحة مرة أخرى في سلسلة الاتصال النهائية، ويتم تغليف اسم قاعدة بيانات pg_dumpall كسلسلة اتصال. تؤثر هذه المشكلة على pgAdmin 4: قبل الإصدار 9.19.

المعالجة

المراجع

Esc