CVE-2026-14670
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W PostgreSQL w plperl występuje przepełnienie bufora sterty przy zwracaniu powiązanego hasza (tied hash), co pozwala właścicielowi funkcji na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez spreparowane ciało funkcji. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.
Ocena ryzyka
Właściciel funkcji może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia systemu i naruszenia danych.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji z poprawką oraz ograniczenie uprawnień do tworzenia funkcji w plperl.
Oryginalny opis (angielski, źródło NVD)
Heap buffer overflow in PostgreSQL plperl return of a tied hash allows the function owner to execute arbitrary code as the operating system user running the database, via a crafted function body. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.