CVE-2026-14680
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W PostgreSQL występuje pomylenie typów (type confusion) z argumentami typu danych "internal", co pozwala każdemu użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez wywołania funkcji z tym typem argumentu. Typ "internal" reprezentuje klasę wzajemnie niekompatybilnych struktur danych, które nie są przeznaczone do dostępu z SQL. System miał zapobiegać takim wywołaniom, ale luki w zabezpieczeniach pozostały. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.
Ocena ryzyka
Każdy użytkownik bazy danych może wykonać dowolny kod na serwerze, co prowadzi do całkowitego przejęcia systemu i naruszenia wszystkich danych.
Rekomendacja
Niezwłocznie zaktualizuj PostgreSQL do wersji z poprawką i rozważ ograniczenie dostępu do bazy tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Type confusion with PostgreSQL "internal" data type arguments allows any user to execute arbitrary code as the operating system user running the database, via calls to functions with that argument type. Type "internal" represents a class of mutually-incompatible data structures not intended for access from SQL. The system intended to prevent such function calls, but this prevention had gaps. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.