CVE-2026-6638
MediumSummary
Podatność CVE-2026-6638 dotyczy wstrzykiwania SQL w PostgreSQL, które umożliwia twórcy tabeli subskrybenta wykonanie dowolnego SQL z uprawnieniami publikacji subskrypcji. Atak aktywuje się przy następnym odświeżeniu publikacji.
Risk Assessment
Organizacja może być narażona na nieautoryzowane wykonanie kodu SQL, co może prowadzić do utraty danych lub naruszenia integralności systemu. Wykorzystanie tej podatności może mieć poważne konsekwencje dla bezpieczeństwa danych.
Recommendation
Zaleca się aktualizację PostgreSQL do najnowszej wersji oraz przegląd i ograniczenie uprawnień subskrybentów, aby zminimalizować ryzyko wstrzykiwania SQL.
Original NVD description (English source)
SQL injection in PostgreSQL logical replication ALTER SUBSCRIPTION ... REFRESH PUBLICATION allows a subscriber table creator to execute arbitrary SQL with the subscription's publication-side credentials. The attack takes effect at the next REFRESH PUBLICATION. Within major versions 16, 17, and 18,