Katalog podatności CVE

Fulcio, urząd certyfikacji do wydawania certyfikatów podpisywania kodu dla tożsamości OIDC, w wersjach do 1.8.5 niewłaściwie podąża za przekierowaniami między hostami i dołącza tokeny ServiceAccount Kubernetes podczas wykrywania OIDC, co pozwala złośliwemu lub skompromitowanemu wystawcy na przeprowadzenie ślepego SSRF, podstawienie i buforowanie złośliwych kluczy JWKS lub ujawnienie tokenów ServiceAccount zewnętrznym hostom.

Przepełnienie bufora sterty w pg_dump w PostgreSQL przy długich listach transformacji funkcji pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający pg_dump, poprzez spreparowaną listę transformacji.

Włączenie niezaufanych danych w pg_dump w PostgreSQL pozwala złośliwemu superuserowi serwera źródłowego na wstrzyknięcie dowolnego kodu do wykonania podczas przywracania jako konto systemu operacyjnego klienta uruchamiające psql, poprzez rozszerzenie danych wejściowych meta-polecenia psql \restrict. Poprawka dla CVE-2025-8714 wprowadziła \restrict i \unrestrict, ale samo \unrestrict było wystarczające do ataku.

Pomylenie typów w cyklu życia "portalu"/kursora w PostgreSQL pozwala użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez ponowne utworzenie kursora lub innego portalu z różnymi typami.

Pomylenie typów w pg_restore_attribute_stats() w PostgreSQL pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez połączenie wartości range i multirange. Podatność dotyczy tylko wersji 18 przed 18.5.

W PostgreSQL w module fuzzystrmatch występuje zawinięcie liczby całkowitej, które pozwala użytkownikowi na zapis do ogromnego zakresu adresów i wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez ekstremalne dane wejściowe do funkcji SQL levenshtein() lub levenshtein_less_equal(). Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL występuje wstrzyknięcie SQL w funkcji EXTRACT() podczas deparsowania, co pozwala właścicielowi obiektu na wykonanie dowolnego SQL jako superużytkownik poprzez złośliwą definicję obiektu. Ataki dotyczą szerokiego grona konsumentów deparsowania wyrażeń, w tym pg_dump, poleceń psql takich jak \sf, oraz podobnych zastosowań w narzędziach spoza rdzenia. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL występuje pomylenie typów (type confusion) z argumentami typu danych "internal", co pozwala każdemu użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez wywołania funkcji z tym typem argumentu. Typ "internal" reprezentuje klasę wzajemnie niekompatybilnych struktur danych, które nie są przeznaczone do dostępu z SQL. System miał zapobiegać takim wywołaniom, ale luki w zabezpieczeniach pozostały. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL występuje przepełnienie bufora stosu w dopasowywaniu nazw argumentów, co pozwala twórcy obiektu na osiągnięcie nieznanych skutków poprzez liczbę parametrów OUT. Atak może zapisywać tylko bajty 0x0 i 0x1. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL w wersjach 32-bitowych modułów pltcl i plperl występuje zawinięcie liczby całkowitej, co pozwala twórcy obiektu na spowodowanie zbyt małej alokacji i zapis poza zakresem poprzez spreparowane ciała funkcji. Może to prowadzić do wykonania dowolnego kodu jako użytkownik systemowy bazy danych. CVE-2026-6473 naprawiło podobne problemy. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL w module pg_stat_statements występuje przepełnienie bufora sterty, co pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez spreparowane zapytania zawierające stałe tablicowe. W obrębie głównej wersji 18 podatne są wersje przed 18.5. Wersje przed PostgreSQL 18 nie są podatne.

W PostgreSQL w module "refint" występuje pomylenie typów, co pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych. Poprawka pojawiła się jako nie-bezpieczeństwowy raport o błędzie i znajduje się w repozytorium git z tematem "refint: Remove plan cache.", bez numeru CVE. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL w plperl występuje przepełnienie bufora sterty przy zwracaniu powiązanego hasza (tied hash), co pozwala właścicielowi funkcji na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez spreparowane ciało funkcji. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL w funkcji to_char(timestamptz) występuje przepełnienie bufora sterty, co pozwala osobie wybierającej strefę czasową na wykonanie dowolnego kodu jako użytkownik systemowy bazy danych, poprzez długi skrót strefy czasowej POSIX. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL występuje pomylenie typów dotyczące wejścia estymatora selektywności typu danych ctid, co pozwala twórcy obiektu na podgląd obliczenia pochodzącego z wartości dowolnego 4-bajtowego fragmentu pamięci, poprzez wybrane wejście nie będące ctid. Mimo że obliczenie traci precyzję, możliwe jest odzyskanie znacznej części wartości pamięci. Podatne są wersje przed 18.5, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w wyrażeniach regularnych PostgreSQL pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez tekst, który nie przeszedłby walidacji kodowania. Podatność dotyczy wersji przed 18.5, 17.11, 16.15, 15.19 i 14.24.

Zawinięcie liczby całkowitej w funkcjach typów danych tsvector i tsquery w PostgreSQL pozwala nieuprzywilejowanemu użytkownikowi bazy danych na spowodowanie zbyt małej alokacji i zapisu poza zakresem, poprzez spreparowane duże dane wejściowe. Może to umożliwić wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Podatność dotyczy wersji przed 18.5, 17.11, 16.15, 15.19 i 14.24.

Serendipity przed wersją 2.6.0 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w filtrze serendipity_url_allowed(), który nie blokuje adresów IPv4 zakodowanych szesnastkowo, literałów IPv6 oraz zakresów link-local. Uwierzytelnieni użytkownicy z uprawnieniem adminImagesAdd mogą ominąć filtr, używając alternatywnych formatów adresów, aby uzyskać dostęp do wewnętrznych usług i pobrać treści odpowiedzi przez publiczny katalog uploads.

GitPython przed wersją 3.1.54 zawiera podatność na zdalne wykonanie kodu w zabezpieczeniu check_unsafe_options, które można obejść, przemycając opcje git wewnątrz wartości argumentów o pojedynczym znaku. Atakujący mogą dostarczyć spreparowane słowniki opcji do metod clone_from, fetch, pull, push, ls_remote, iter_commits, blame lub archive, aby wykonać dowolne polecenia systemu operacyjnego za pomocą parametru --upload-pack.

GitPython przed wersją 3.1.54 zawiera podatność na nadpisanie dowolnych plików w metodzie Diffable.diff, która nie waliduje opcji git przekazywanych przez kwargs. Atakujący mogą podać argument --output przez parametr other lub kwarg output, aby zapisać treść patchy do wybranych przez atakującego ścieżek plików z uprawnieniami procesu.