CVE-2026-6638

Średnie

Opublikowano: —Przetłumaczono: 07/06/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2026-6638 dotyczy wstrzykiwania SQL w PostgreSQL, które umożliwia twórcy tabeli subskrybenta wykonanie dowolnego SQL z uprawnieniami publikacji subskrypcji. Atak aktywuje się przy następnym odświeżeniu publikacji.

Ocena ryzyka

Organizacja może być narażona na nieautoryzowane wykonanie kodu SQL, co może prowadzić do utraty danych lub naruszenia integralności systemu. Wykorzystanie tej podatności może mieć poważne konsekwencje dla bezpieczeństwa danych.

Rekomendacja

Zaleca się aktualizację PostgreSQL do najnowszej wersji oraz przegląd i ograniczenie uprawnień subskrybentów, aby zminimalizować ryzyko wstrzykiwania SQL.

Oryginalny opis (angielski, źródło NVD)

SQL injection in PostgreSQL logical replication ALTER SUBSCRIPTION ... REFRESH PUBLICATION allows a subscriber table creator to execute arbitrary SQL with the subscription's publication-side credentials. The attack takes effect at the next REFRESH PUBLICATION. Within major versions 16, 17, and 18,