CVE-2026-85787

ŚrednieCVSS 6.5

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Niekompletna lista niedozwolonych danych wejściowych w komponencie walidacji SQL w Amazon awslabs postgres-mcp-server przed wersją 1.1.7 może pozwolić nieuwierzytelnionemu aktorowi na modyfikację danych poza zakresem tylko do odczytu poprzez umieszczenie spreparowanego SQL w treści przesyłanej podczas interakcji uwierzytelnionego użytkownika z serwerem MCP.

Ocena ryzyka

Ryzyko nieautoryzowanej modyfikacji danych w bazie danych, co może prowadzić do naruszenia integralności danych i potencjalnie do eskalacji uprawnień.

Rekomendacja

Zaleca się aktualizację do wersji 1.1.7 lub nowszej, aby wyeliminować tę podatność.

Inne podatności w postgres-mcp-server

CVE-2026-87911Krytyczne
Słabość polegająca na wstrzyknięciu poleceń systemu operacyjnego w mechanizmie wymuszania trybu tylko do odczytu w komponencie walidacji SQL w amazon awslabs postgres-mcp-server przed wersją 1.1.7 może pozwolić nieuwierzytelnionemu aktorowi na wykonanie poleceń systemu operacyjnego na hoście samodzielnie zarządzanego serwera PostgreSQL poprzez umieszczenie spreparowanego polecenia COPY ... TO PROGRAM w treści przetwarzanej, gdy uwierzytelniony użytkownik wchodzi w interakcję z serwerem MCP w domyślnym trybie tylko do odczytu.

Oryginalny opis (angielski, źródło NVD)

An incomplete list of disallowed inputs in the SQL validation component in Amazon awslabs postgres-mcp-server before version 1.1.7 might allow an unauthenticated actor to modify data beyond the read-only scope by placing crafted SQL into the content that is submitted when an authenticated user interacts with the MCP server. To remediate this issue, users should upgrade to version 1.1.7 or above.