Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je kvůli chybnému zpracování uvozovací syntaxe některými funkcemi knihovny libpq pomocí speciálně vytvořeného vstupu umožněno provést SQL injection útok, který vyžaduje využití výstupu z dotčených funkcí pro konstrukci vstupu do interaktivního terminálu psql. Obdobná chyba v dalších příkazových nástrojích PostgreSQL umožňuje útok provést, je-li client_encoding nastaveno na BIG5 a server_encoding na EUC_TW nebo MULE_INTERNAL [5]. Původní oprava vedla k regresi, kdy mohlo docházet k pádům aplikace [1].

Zranitelnost se nachází v produktu:

• *:PostgreSQL;>=13,<13.20;>=14,<14.17;>=15,<15.12;>=16,<16.8;>=17,<17.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-1094 na cve.org, NVD
• CWE-149: Improper Neutralization of Quoting Syntax na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 2. 2025.