CVE-2026-6476

Średnie

Opublikowano: —Przetłumaczono: 07/06/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2026-6476 dotyczy wstrzykiwania SQL w funkcji pg_createsubscriber w PostgreSQL, co pozwala atakującemu z uprawnieniami pg_create_subscription na wykonanie dowolnego SQL jako superużytkownik. Atak aktywuje się przy następnym uruchomieniu pg_createsubscriber.

Ocena ryzyka

Organizacje mogą być narażone na poważne zagrożenia związane z nieautoryzowanym dostępem do danych oraz możliwością wykonania niebezpiecznych operacji w bazie danych. Wykorzystanie tej podatności może prowadzić do utraty integralności danych.

Rekomendacja

Zaleca się aktualizację PostgreSQL do wersji 18.4 lub 17.10 oraz monitorowanie uprawnień użytkowników, aby zminimalizować ryzyko wykorzystania tej podatności.

Oryginalny opis (angielski, źródło NVD)

SQL injection in PostgreSQL pg_createsubscriber allows an attacker with pg_create_subscription rights to execute arbitrary SQL as a superuser. The attack takes effect when pg_createsubscriber next runs. Within major versions 17 and 18, minor versions before PostgreSQL 18.4 and 17.10 are affected.