[TLP:CLEAR] PostgreSQL opravuje 5 zranitelností
PostgreSQL verzemi 18.2, 17.8, 16.12, 15.16 a 14.21 opravuje 5 zranitelností. Nejzávažnější z nich jsou popsány níže, zbylé naleznete na [1].
Autentizovanému vzdálenému útočníkovi je kvůli chybějící kontrole typu vstupu v rozšíření PostgreSQL umožněno spustit libovolný kód s oprávněními uživatele, pod kterým běží databáze [1].
Zranitelnost se nachází v produktu:
- PostgreSQL; >=18.0, <18.2; >=17.0, <17.8; >=16.0, <16.12; >=15.0, <15.16; >=14.0,<14.21
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-2004 na cve.org, NVD
- CWE-1287: Improper Validation of Specified Type of Input na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 2. 2026.
Autentizovanému vzdálenému útočníkovi je prostřednictvím škodlivého šifrovaného vstupu v rozšíření PostgreSQL umožněno spustit libovolný kód s oprávněními uživatele, pod kterým běží databáze [1].
Zranitelnost se nachází v produktu:
- PostgreSQL; >=18.0, <18.2; >=17.0, <17.8; >=16.0, <16.12; >=15.0, <15.16; >=14.0,<14.21
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-2005 na cve.org, NVD
- CWE-122: Heap-based Buffer Overflow na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 2. 2026.
Autentizovanému vzdálenému útočníkovi je kvůli chybějící kontrole délky vícebajtových znaků v textových funkcích PostgreSQL umožněno přes upravené dotazy vyvolat přetečení bufferu a spustit libovolný kód s oprávněními uživatele, pod kterým běží databáze [1].
Zranitelnost se nachází v produktu:
- PostgreSQL; >=18.0, <18.2; >=17.0, <17.8; >=16.0, <16.12; >=15.0, <15.16; >=14.0,<14.21
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-2006 na cve.org, NVD
- CWE-129: Improper Validation of Array Index na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 2. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dne 16. 2. 2026.