CVE-2026-73515
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
PostGIS przed wersją 3.7.0beta2 zawiera podatność odczytu poza zakresem, która pozwala atakującym na ujawnienie pamięci lub awarię serwera poprzez dostarczenie nieprawidłowego bufora FlatGeobuf. Dekoder metadanych właściwości FlatGeobuf weryfikuje obecność pola długości stringa, ale nie sprawdza, czy treść stringa znajduje się w dostarczonym buforze przed zmaterializowaniem go do wartości widocznej w SQL, co umożliwia ujawnienie pamięci lub odmowę usługi.
Ocena ryzyka
Ryzyko wycieku wrażliwych danych z pamięci serwera oraz przerw w działaniu usług bazodanowych.
Rekomendacja
Zaktualizuj PostGIS do wersji 3.7.0beta2 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
PostGIS before 3.7.0beta2 contains an out-of-bounds read vulnerability that allows attackers to cause memory disclosure or a server crash by supplying a malformed FlatGeobuf buffer. The FlatGeobuf property metadata decoder verifies that a string length field is present but fails to verify that the subsequent string body is contained within the supplied buffer before materializing it into a SQL-visible value, enabling memory disclosure or denial of service.