CVE-2026-6476
MediumSummary
Podatność CVE-2026-6476 dotyczy wstrzykiwania SQL w funkcji pg_createsubscriber w PostgreSQL, co pozwala atakującemu z uprawnieniami pg_create_subscription na wykonanie dowolnego SQL jako superużytkownik. Atak aktywuje się przy następnym uruchomieniu pg_createsubscriber.
Risk Assessment
Organizacje mogą być narażone na poważne zagrożenia związane z nieautoryzowanym dostępem do danych oraz możliwością wykonania niebezpiecznych operacji w bazie danych. Wykorzystanie tej podatności może prowadzić do utraty integralności danych.
Recommendation
Zaleca się aktualizację PostgreSQL do wersji 18.4 lub 17.10 oraz monitorowanie uprawnień użytkowników, aby zminimalizować ryzyko wykorzystania tej podatności.
Original NVD description (English source)
SQL injection in PostgreSQL pg_createsubscriber allows an attacker with pg_create_subscription rights to execute arbitrary SQL as a superuser. The attack takes effect when pg_createsubscriber next runs. Within major versions 17 and 18, minor versions before PostgreSQL 18.4 and 17.10 are affected.