CVE-2024-10978
ŚrednieStreszczenie
W PostgreSQL wykryto nieprawidłowe przypisanie uprawnień, które pozwala mniej uprzywilejowanemu użytkownikowi aplikacji na przeglądanie lub zmianę innych wierszy niż zamierzone. Atak wymaga użycia przez aplikację SET ROLE, SET SESSION AUTHORIZATION lub równoważnej funkcji. Problem występuje, gdy zapytanie aplikacji używa partycjonowania (partitioning).
Ocena ryzyka
Użytkownik aplikacji może uzyskać nieautoryzowany dostęp do danych lub je modyfikować, co narusza kontrolę dostępu.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji zawierającej poprawkę oraz unikanie używania SET ROLE/SET SESSION AUTHORIZATION w zapytaniach z partycjonowaniem bez odpowiedniego testowania.
Oryginalny opis (angielski, źródło NVD)
Incorrect privilege assignment in PostgreSQL allows a less-privileged application user to view or change different rows from those intended. An attack requires the application to use SET ROLE, SET SESSION AUTHORIZATION, or an equivalent feature. The problem arises when an application query uses pa