CVE-2024-10976
ŚrednieStreszczenie
W PostgreSQL wykryto niekompletne śledzenie tabel z zabezpieczeniami na poziomie wierszy (row security), co pozwala ponownie używanemu zapytaniu na przeglądanie lub zmianę innych wierszy niż zamierzone. Poprawki z CVE-2023-2455 i CVE-2016-2193 nie obejmują przypadków z podzapytaniami, WITH ani security invoker views.
Ocena ryzyka
Użytkownik aplikacji może nieautoryzowanie uzyskać dostęp do danych lub je modyfikować, co narusza poufność i integralność danych.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji zawierającej poprawkę oraz przegląd aplikacji używających podzapytań i widoków security invoker.
Oryginalny opis (angielski, źródło NVD)
Incomplete tracking in PostgreSQL of tables with row security allows a reused query to view or change different rows from those intended. CVE-2023-2455 and CVE-2016-2193 fixed most interaction between row security and user ID changes. They missed cases where a subquery, WITH query, security invoke