CVE-2026-15742
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W PostgreSQL w module fuzzystrmatch występuje zawinięcie liczby całkowitej, które pozwala użytkownikowi na zapis do ogromnego zakresu adresów i wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez ekstremalne dane wejściowe do funkcji SQL levenshtein() lub levenshtein_less_equal(). Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad serwerem bazy danych, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz całego systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację PostgreSQL do najnowszej dostępnej wersji z poprawką (18.5 lub nowszej, odpowiednio dla innych gałęzi).
Oryginalny opis (angielski, źródło NVD)
Integer wraparound in PostgreSQL fuzzystrmatch allows a user to direct writes to a huge range of addresses, executing arbitrary code as the operating system user running the database, via extreme inputs to SQL function levenshtein() or levenshtein_less_equal(). Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.