CVE-2026-15741
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W PostgreSQL występuje wstrzyknięcie SQL w funkcji EXTRACT() podczas deparsowania, co pozwala właścicielowi obiektu na wykonanie dowolnego SQL jako superużytkownik poprzez złośliwą definicję obiektu. Ataki dotyczą szerokiego grona konsumentów deparsowania wyrażeń, w tym pg_dump, poleceń psql takich jak \sf, oraz podobnych zastosowań w narzędziach spoza rdzenia. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.
Ocena ryzyka
Osoba z uprawnieniami do tworzenia obiektów może eskalować uprawnienia do superużytkownika, co umożliwia pełną kontrolę nad bazą danych i systemem.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji z poprawką oraz ograniczenie uprawnień do tworzenia obiektów tylko zaufanym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
SQL injection in PostgreSQL EXTRACT() deparse allows an object owner to execute arbitrary SQL as a superuser via a hostile object definition. Attacks affect expression deparse consumers broadly, including pg_dump, psql commands like \sf, and any similar usage in non-core tools. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.