CVE-2026-14669
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W PostgreSQL w funkcji to_char(timestamptz) występuje przepełnienie bufora sterty, co pozwala osobie wybierającej strefę czasową na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez długi skrót strefy czasowej POSIX. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.
Ocena ryzyka
Osoba mogąca wpływać na strefę czasową może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia systemu i naruszenia danych.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji z poprawką oraz ograniczenie możliwości ustawiania niestandardowych stref czasowych.
Oryginalny opis (angielski, źródło NVD)
Heap buffer overflow in PostgreSQL to_char(timestamptz) allows the party choosing the timezone to execute arbitrary code as the operating system user running the database, via a long POSIX timezone abbreviation. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.