CVE-2026-51992
Niskie ryzyko· EPSS 41%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Ten identyfikator CVE został odrzucony lub wycofany przez CVE Numbering Authority. Integracja PostgreSQL w ClickHouse celowo pozwala użytkownikom z prawidłowymi poświadczeniami PostgreSQL na wykonywanie zapytań do zdalnego serwera PostgreSQL. Nie jest wykorzystywana żadna podatność w ClickHouse; wykonanie kodu następuje na docelowym serwerze PostgreSQL przy użyciu poświadczeń jawnie podanych przez użytkownika z określonym uprawnieniem pg_execute_server_program, wykorzystując funkcję, która została błędnie zgłoszona jako CVE-2019-9193 w PostgreSQL.
Ocena ryzyka
Brak ryzyka związanego z tym CVE, ponieważ został odrzucony. Nie jest to podatność w ClickHouse, a jedynie błędna interpretacja funkcji PostgreSQL.
Rekomendacja
Nie są wymagane żadne działania, ponieważ CVE został odrzucony. Należy jednak upewnić się, że użytkownicy mają odpowiednie uprawnienia i że dostęp do PostgreSQL jest kontrolowany.
Inne podatności w ClickHouse
Oryginalny opis (angielski, źródło NVD)
Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority. ClickHouse's PostgreSQL integration intentionally allows users with valid PostgreSQL credentials to execute queries against a remote PostgreSQL server. No vulnerability in ClickHouse is exploited; code execution occurs on the downstream PostgreSQL server using credentials explicitly provided by the user with specific pg_execute_server_program permission, exploiting a feature that was wrongly reported as CVE-2019-9193 in PostgreSQL (https://www.postgresql.org/about/news/cve-2019-9193-not-a-security-vulnerability-1935/).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS