Katalog podatności CVE

W PostgreSQL, w funkcji pg_restore_attribute_stats(), występuje błąd pomylenia typów, który pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez pomieszanie wartości range i multirange. W obrębie głównej wersji 18, dotknięte są wersje przed PostgreSQL 18.6. Wersje przed PostgreSQL 18 nie są dotknięte.

Zawinięcie liczby całkowitej w module fuzzystrmatch w PostgreSQL pozwala użytkownikowi na kierowanie zapisów do ogromnego zakresu adresów, wykonując dowolny kod jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez ekstremalne dane wejściowe do funkcji SQL levenshtein() lub levenshtein_less_equal(). Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w funkcji EXTRACT() deparse, występuje wstrzyknięcie SQL, które pozwala właścicielowi obiektu na wykonanie dowolnego SQL jako superuser poprzez wrogą definicję obiektu. Ataki dotykają szeroko konsumentów deparse wyrażeń, w tym pg_dump, polecenia psql takie jak \sf, oraz podobne użycie w narzędziach nie-rdzeniowych. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL wsparcie GSSAPI nie egzekwuje integralności wiadomości, co pozwala użytkownikowi na negocjację GSSAPI wbrew regułom pg_hba.conf, poprzez początkową bezpośrednią komunikację TLS. Mimo że pg_hba.conf wydaje się wymagać GSSAPI, połączenie może wymieniać dane wyłącznie z szyfrowaniem TLS. Jeśli ustawienia TLS są bardziej permisywne niż GSS, połączenie może działać z mniejszą ochroną. Dotyczy to wersji głównych 17-18, przed 18.6 i 17.11.

Pomylenie typów z argumentami typu danych "internal" w PostgreSQL pozwala każdemu użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez wywołania funkcji z tym typem argumentu. Typ "internal" reprezentuje klasę wzajemnie niekompatybilnych struktur danych nieprzeznaczonych do dostępu z SQL. System miał zapobiegać takim wywołaniom, ale luki w zabezpieczeniach pozostały. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w dopasowywaniu nazw argumentów, występuje przepełnienie bufora stosu, które pozwala twórcy obiektu na osiągnięcie nieznanych skutków poprzez liczbę parametrów OUT. Atak może zapisywać tylko bajty 0x0 i 0x1. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL funkcja picksplit indeksu pg_trgm odczytuje dane poza końcem bufora sterty. Może to pozwolić osobie zarządzającej tabelą na wywnioskowanie ograniczonych wartości pamięci, poprzez sygnał stratny w wyborach podziału indeksu. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

W 32-bitowych wersjach PostgreSQL, w modułach pltcl i plperl, występuje błąd zawinięcia liczby całkowitej, który pozwala twórcy obiektu na spowodowanie zbyt małej alokacji pamięci i zapisu poza jej zakresem poprzez spreparowane ciała funkcji. Może to umożliwić wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Podobne problemy zostały naprawione w CVE-2026-6473. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w pg_stat_statements w PostgreSQL pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez spreparowane zapytania zawierające stałe tablicowe. Podatne są wersje w obrębie głównej wersji 18 przed 18.6. Wersje przed PostgreSQL 18 nie są podatne.

W PostgreSQL amcheck występuje podatność typu niebezpieczna ścieżka wyszukiwania, która pozwala użytkownikowi z uprawnieniem EXECUTE na funkcji amcheck na wykonanie dowolnych funkcji jako właściciele indeksów wyrażeń zależnych od ścieżki wyszukiwania, poprzez ustawienie wrogiej ścieżki przed wywołaniem funkcji amcheck. Dotyczy to wersji 18, 16, 15 i 14 przed określonymi wersjami poprawkowymi; PostgreSQL 17 nie jest dotknięty.

W PostgreSQL w mechanizmie uwierzytelniania SCRAM występuje obserwowalna różnica w odpowiedziach, która pozwala nieuwierzytelnionemu użytkownikowi sprawdzić istnienie konta poprzez obserwację liczby iteracji SCRAM. Dotyczy to wersji głównych 16-18, przed wydaniami 18.6, 17.11 i 16.15.

W module PostgreSQL "refint" występuje błąd pomylenia typów, który pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Poprawka pojawiła się jako nie-bezpieczeństwowy raport o błędzie i została dodana do repozytorium git z tematem "refint: Remove plan cache.", bez numeru CVE. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w plperl przy zwracaniu powiązanego hasza (tied hash) pozwala właścicielowi funkcji na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez spreparowane ciało funkcji. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w funkcji to_char(timestamptz) w PostgreSQL pozwala osobie wybierającej strefę czasową na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez długi skrót strefy czasowej POSIX. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w estymatorze selektywności typu danych ctid, występuje błąd pomylenia typów, który pozwala twórcy obiektu na podgląd obliczenia pochodzącego z wartości dowolnego 4-bajtowego fragmentu pamięci, poprzez wybrany nie-ctid input. Chociaż obliczenie traci precyzję, odzyskanie znacznej wartości pamięci wydaje się możliwe. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL niepełne śledzenie zmian członkostwa w rolach, atrybutów ról i własności baz danych pozwala zapytaniu na dalsze używanie buforowanych polityk bezpieczeństwa na poziomie wierszy (RLS) po zmianach, które wymagają innej polityki, poprzez ponowne użycie planu. Nieaktualne polityki pozostają aż do unieważnienia pamięci podręcznej lub zakończenia sesji. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w wyrażeniach regularnych (regexp) w PostgreSQL pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez tekst, który nie przeszedłby walidacji kodowania. Podatność ma wspólne pochodzenie z CVE-2026-2006, ale w tym przypadku wystąpił nieprzewidziany wzrost danych podczas konwersji przez pg_wchar. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL rozszerzenie pgcrypto przechowuje tekst jawny w przypadku wyłączonych szyfrów, co pozwala użytkownikowi odzyskać tekst jawny poprzez bezpośrednią obserwację wadliwego szyfrogramu. Konfiguracja OpenSSL determinuje wyłączone szyfry. Jeśli aplikacja przyjmuje zaszyfrowane dane jako wejście, deszyfrowanie może się powieść nawet z błędnym kluczem, tracąc ochronę MDC. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

Zawinięcie liczby całkowitej w funkcjach typów danych tsvector i tsquery w PostgreSQL pozwala nieuprzywilejowanemu użytkownikowi bazy danych na spowodowanie zbyt małej alokacji i zapisu poza zakresem, poprzez spreparowane duże dane wejściowe. Może to prowadzić do wykonania dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Typy te zazwyczaj pochodzą z logiki aplikacji, a nie od użytkownika aplikacji, więc ataki przez aplikację są mało prawdopodobne. Podobny problem naprawiono w CVE-2026-6473. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Produkt HCL AION jest dotknięty podatnością, w której współdzielone przechowywanie używane przez komponenty produktu jest zaprojektowane bez wystarczającego rozdzielenia dostępu. Procesy korzystające z tego przechowywania mogą uzyskać dostęp do plików lub je modyfikować poza zamierzonym zakresem, co może potencjalnie prowadzić do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.