pgEdge Postgres MCP Server: Umgehung der Login-Ratenbegrenzung über X-Forwarded-For

Zusammenfassung

Der HTTP-Transport des pgEdge Postgres MCP Servers entnimmt bei aktivierter Authentifizierung die Client-Adresse für die Ratenbegrenzung der Anmeldung dem ersten X-Forwarded-For-Wert, den der Aufrufer selbst steuert. Ein nicht authentifizierter Angreifer kann diesen Wert rotieren, um die Ratenbegrenzung zu umgehen und weiter Passwörter zu erraten, oder die Adresse eines anderen Benutzers senden und dessen Limiter-Kontingent belegen. Die Kontosperre pro Benutzername ist nicht betroffen, ist aber standardmässig deaktiviert.

Betroffen

• pgEdge pgedge-postgres-mcp (pgEdge Postgres MCP Server) Versionen vor 1.1.0
• Nur Installationen mit dem nicht standardmässigen HTTP-Transport und aktivierter Authentifizierung
• Die veröffentlichte nginx-Konfiguration hängt an X-Forwarded-For an, weshalb das Problem ohne Fehlkonfiguration auftritt

Behoben in

• Aktualisierung auf Version 1.1.0 oder neuer

Umgehung

• Unbekannt. Ausser dem Update ist keine Massnahme dokumentiert.
• X-Forwarded-For am Reverse Proxy mit $remote_addr überschreiben, statt anzuhängen
• Kontosperre pro Benutzername (max_failed_attempts_before_lockout) als zweite Kontrolle aktivieren, nach Prüfung auf Missbrauch

Ausnutzung

• Keine Hinweise auf eine aktive Ausnutzung gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• Ein öffentlicher Proof of Concept konnte nicht bestätigt werden.

Unsere Empfehlung

• Auf Version 1.1.0 oder neuer aktualisieren, zusammen mit den verwandten Korrekturen CVE-2026-125320 und CVE-2026-125322.
• Prüfen, ob der HTTP-Transport mit Authentifizierung aktiviert und aus dem Internet erreichbar ist.
• Die Behandlung von X-Forwarded-For im Reverse Proxy prüfen und nach dem Update die client_ip-Einstellung konfigurieren.
• Authentifizierungsprotokolle auf viele fehlgeschlagene Anmeldungen von wechselnden Adressen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v347-v3w7-7fq9 github.com
• Fix commit 6a19e46 github.com
• Issue #204 github.com
• Pull request #205 github.com
• Strix CVE record CVE-2026-125321 www.strix.ai
• threatint CVE record CVE-2026-125321 cve.threatint.com
• pgEdge 1.1.0 server configuration reference docs.pgedge.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:41.