CVE-2026-16241
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Niedopełnienie liczby całkowitej w PostgreSQL ECPG pozwala administratorowi serwera bazy danych na osiągnięcie tymczasowej odmowy usługi wobec klienta ECPG poprzez wysłanie wartości bytea bez wymaganego prefiksu. Klient nadpisuje ogromny obszar pamięci bajtami, których atakujący nie zna ani nie kontroluje. Zazwyczaj prowadzi to do prostego SIGSEGV, ale w rzadkich przypadkach może osiągnąć wpływ na integralność specyficzny dla klienta poprzez zapis. Dotyczy wersji przed PostgreSQL 18.5, 17.11, 16.15, 15.19 i 14.24.
Ocena ryzyka
Ryzyko obejmuje tymczasową niedostępność klienta ECPG (odmowa usługi) oraz potencjalne naruszenie integralności danych klienta w rzadkich przypadkach.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji 18.5, 17.11, 16.15, 15.19 lub 14.24 (lub nowszej) w zależności od używanej głównej wersji.
Oryginalny opis (angielski, źródło NVD)
Integer underflow in PostgreSQL ECPG allows a database server administrator to achieve temporary denial of service against the ECPG client via sending a bytea value lacking the mandatory prefix. The client overwrites a huge memory region with bytes outside attacker knowledge or control. This typically yields a simple SIGSEGV, but rare cases might achieve client-specific integrity impact via the write. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.