CVE-2026-14676
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W PostgreSQL w module pg_stat_statements występuje przepełnienie bufora sterty, co pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez spreparowane zapytania zawierające stałe tablicowe. W obrębie głównej wersji 18 podatne są wersje przed 18.5. Wersje przed PostgreSQL 18 nie są podatne.
Ocena ryzyka
Osoba mogąca wykonywać zapytania może przejąć kontrolę nad serwerem bazy danych, co prowadzi do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się aktualizację PostgreSQL 18 do wersji 18.5 lub nowszej, a także ograniczenie dostępu do wykonywania zapytań tylko zaufanym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
Heap buffer overflow in PostgreSQL pg_stat_statements allows the query author to execute arbitrary code as the operating system user running the database, via crafted queries containing array constants. Within major version 18, minor versions before PostgreSQL 18.5 are affected. Versions before PostgreSQL 18 are unaffected.