PT-2026-39630 · Pgadmin 4+1 · Pgadmin 4+1
Fernando Bortotti
·
Publicado
2026-05-11
·
Atualizado
2026-05-11
·
CVE-2026-7820
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
pgAdmin 4 versões anteriores a 9.15
Descrição
Ocorre uma restrição inadequada de tentativas excessivas de autenticação porque o limite
MAX LOGIN ATTEMPTS é aplicado apenas na view '/authenticate/login'. A view '/login' padrão do Flask-Security não verifica o campo User.locked, pois o modelo de Usuário dependia de UserMixin.is locked() (que sempre retorna 'não bloqueado') e is active (que verifica apenas a coluna ativa). Isso permite que um invasor ignore a proteção contra força bruta para contas que utilizam a fonte de autenticação INTERNAL, enviando credenciais diretamente para '/login'. Consequentemente, as tentativas de login via '/login' não são limitadas, permitindo ataques de adivinhação de senha online ilimitados. Este problema não afeta usuários de LDAP, OAuth2, Kerberos ou Webserver.Recomendações
Atualize para a versão 9.15 ou posterior para garantir que a coluna de bloqueio seja aplicada em todos os caminhos de autenticação.
Correção
Improper Restriction of Excessive Authentication Attempts
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Pgadmin
Pgadmin 4