Katalog podatności CVE

W PostgreSQL, w pg_dump, występuje włączenie niezaufanych danych, które pozwala złośliwemu superuserowi serwera źródłowego na wstrzyknięcie dowolnego kodu do wykonania podczas przywracania jako konto systemu operacyjnego klienta uruchamiające psql, poprzez rozszerzenie danych wejściowych meta-polecenia psql \restrict. Poprawka dla CVE-2025-8714 wprowadziła \restrict i \unrestrict w celu zablokowania tego ataku, ale samo \unrestrict było wystarczające do ataku. pg_dumpall jest również dotknięte. pg_restore jest dotknięte, gdy jest używane do generowania zrzutu w formacie plain. Nie-rdzeniowe użycie \restrict byłoby dotknięte, ale nie zidentyfikowano takiego użycia. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL funkcja SQL ascii() zawiera błąd odczytu poza bufor, który pozwala użytkownikowi ujawnić do 3 bajtów poza końcem określonej alokacji, poprzez spreparowaną wartość tekstową. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL ECPG występuje niedomiar liczby całkowitej, który pozwala administratorowi serwera bazy danych na wywołanie tymczasowej odmowy usługi wobec klienta ECPG poprzez wysłanie wartości bytea bez wymaganego prefiksu. Klient nadpisuje ogromny obszar pamięci bajtami spoza kontroli atakującego, co zwykle powoduje SIGSEGV, ale w rzadkich przypadkach może prowadzić do naruszenia integralności klienta.

Pomylenie typów w cyklu życia "portalu"/kursora w PostgreSQL pozwala użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez ponowne utworzenie kursora lub innego portalu z różnymi typami. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w funkcji pg_restore_attribute_stats(), występuje błąd pomylenia typów, który pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez pomieszanie wartości range i multirange. W obrębie głównej wersji 18, dotknięte są wersje przed PostgreSQL 18.6. Wersje przed PostgreSQL 18 nie są dotknięte.

Zawinięcie liczby całkowitej w module fuzzystrmatch w PostgreSQL pozwala użytkownikowi na kierowanie zapisów do ogromnego zakresu adresów, wykonując dowolny kod jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez ekstremalne dane wejściowe do funkcji SQL levenshtein() lub levenshtein_less_equal(). Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w funkcji EXTRACT() deparse, występuje wstrzyknięcie SQL, które pozwala właścicielowi obiektu na wykonanie dowolnego SQL jako superuser poprzez wrogą definicję obiektu. Ataki dotykają szeroko konsumentów deparse wyrażeń, w tym pg_dump, polecenia psql takie jak \sf, oraz podobne użycie w narzędziach nie-rdzeniowych. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL wsparcie GSSAPI nie egzekwuje integralności wiadomości, co pozwala użytkownikowi na negocjację GSSAPI wbrew regułom pg_hba.conf, poprzez początkową bezpośrednią komunikację TLS. Mimo że pg_hba.conf wydaje się wymagać GSSAPI, połączenie może wymieniać dane wyłącznie z szyfrowaniem TLS. Jeśli ustawienia TLS są bardziej permisywne niż GSS, połączenie może działać z mniejszą ochroną. Dotyczy to wersji głównych 17-18, przed 18.6 i 17.11.

Pomylenie typów z argumentami typu danych "internal" w PostgreSQL pozwala każdemu użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez wywołania funkcji z tym typem argumentu. Typ "internal" reprezentuje klasę wzajemnie niekompatybilnych struktur danych nieprzeznaczonych do dostępu z SQL. System miał zapobiegać takim wywołaniom, ale luki w zabezpieczeniach pozostały. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w dopasowywaniu nazw argumentów, występuje przepełnienie bufora stosu, które pozwala twórcy obiektu na osiągnięcie nieznanych skutków poprzez liczbę parametrów OUT. Atak może zapisywać tylko bajty 0x0 i 0x1. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL funkcja picksplit indeksu pg_trgm odczytuje dane poza końcem bufora sterty. Może to pozwolić osobie zarządzającej tabelą na wywnioskowanie ograniczonych wartości pamięci, poprzez sygnał stratny w wyborach podziału indeksu. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

W 32-bitowych wersjach PostgreSQL, w modułach pltcl i plperl, występuje błąd zawinięcia liczby całkowitej, który pozwala twórcy obiektu na spowodowanie zbyt małej alokacji pamięci i zapisu poza jej zakresem poprzez spreparowane ciała funkcji. Może to umożliwić wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Podobne problemy zostały naprawione w CVE-2026-6473. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w pg_stat_statements w PostgreSQL pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez spreparowane zapytania zawierające stałe tablicowe. Podatne są wersje w obrębie głównej wersji 18 przed 18.6. Wersje przed PostgreSQL 18 nie są podatne.

W PostgreSQL amcheck występuje podatność typu niebezpieczna ścieżka wyszukiwania, która pozwala użytkownikowi z uprawnieniem EXECUTE na funkcji amcheck na wykonanie dowolnych funkcji jako właściciele indeksów wyrażeń zależnych od ścieżki wyszukiwania, poprzez ustawienie wrogiej ścieżki przed wywołaniem funkcji amcheck. Dotyczy to wersji 18, 16, 15 i 14 przed określonymi wersjami poprawkowymi; PostgreSQL 17 nie jest dotknięty.

W PostgreSQL w mechanizmie uwierzytelniania SCRAM występuje obserwowalna różnica w odpowiedziach, która pozwala nieuwierzytelnionemu użytkownikowi sprawdzić istnienie konta poprzez obserwację liczby iteracji SCRAM. Dotyczy to wersji głównych 16-18, przed wydaniami 18.6, 17.11 i 16.15.

W module PostgreSQL "refint" występuje błąd pomylenia typów, który pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Poprawka pojawiła się jako nie-bezpieczeństwowy raport o błędzie i została dodana do repozytorium git z tematem "refint: Remove plan cache.", bez numeru CVE. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w plperl przy zwracaniu powiązanego hasza (tied hash) pozwala właścicielowi funkcji na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez spreparowane ciało funkcji. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w funkcji to_char(timestamptz) w PostgreSQL pozwala osobie wybierającej strefę czasową na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez długi skrót strefy czasowej POSIX. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w estymatorze selektywności typu danych ctid, występuje błąd pomylenia typów, który pozwala twórcy obiektu na podgląd obliczenia pochodzącego z wartości dowolnego 4-bajtowego fragmentu pamięci, poprzez wybrany nie-ctid input. Chociaż obliczenie traci precyzję, odzyskanie znacznej wartości pamięci wydaje się możliwe. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL niepełne śledzenie zmian członkostwa w rolach, atrybutów ról i własności baz danych pozwala zapytaniu na dalsze używanie buforowanych polityk bezpieczeństwa na poziomie wierszy (RLS) po zmianach, które wymagają innej polityki, poprzez ponowne użycie planu. Nieaktualne polityki pozostają aż do unieważnienia pamięci podręcznej lub zakończenia sesji. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.