[TLP:CLEAR] PostgreSQL opravuje 11 zranitelností

PostgreSQL verzemi 18.4, 17.10, 16.14, 15.18 a 14.23 opravuje 11 zranitelností. Nejzávažnější z nich jsou popsány níže, zbylé naleznete na [1].

PostgreSQL - SQL injection (CVE-2026-6637)
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi s nízkými databázovými oprávněními je kvůli SQL injection v PostgreSQL modulu refint umožněno spustit libovolný kód s oprávněními uživatele operačního systému, pod kterým tato databáze běží [2].

Zranitelnost se nachází v produktu:

  • PostgreSQL; >=18, <18.4; >=17, <17.10; >=16, <16.14; >=15, <15.18; >=14, <14.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-6637 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 5. 2026.

PostgreSQL - stack memory overwrite (CVE-2026-6477)
CVSS 8.8 (High)

Neautentizovanému vzdálenému útočníkovi (který ovládá databázový server) je kvůli použití nebezpečné funkce PQfn ve funkcích lo_* klientské knihovny libpq umožněno přepsat paměť zásobníku připojeného klienta libovolně velkou odpovědí a potenciálně spustit kód [3].

Zranitelnost se nachází v produktu:

  • PostgreSQL; >=18, <18.4; >=17, <17.10; >=16, <16.14; >=15, <15.18; >=14, <14.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 18. 5. 2026.

PostgreSQL - file overwrite (CVE-2026-6475)
CVSS 8.8 (High)

Neautentizovanému vzdálenému útočníkovi (s oprávněním superuser ve zdrojové instanci) je kvůli nekontrolovanému zpracování symbolických odkazů v PostgreSQL pg_basebackup a pg_rewind umožněno přepsat lokální soubory a potenciálně ovládnout účet operačního systému [4].

Zranitelnost se nachází v produktu:

  • PostgreSQL; >=18, <18.4; >=17, <17.10; >=16, <16.14; >=15, <15.18; >=14, <14.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 18. 5. 2026.

PostgreSQL - integer wraparound (CVE-2026-6473)
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi je kvůli celočíselnému přetečení ve více funkcích PostgreSQL serveru umožněno způsobit poddimenzovanou alokaci paměti a zápis mimo vyhrazené hranice vedoucí k DoS [5].

Zranitelnost se nachází v produktu:

  • PostgreSQL; >=18, <18.4; >=17, <17.10; >=16, <16.14; >=15, <15.18; >=14, <14.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 18. 5. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dne 5. 6. 2026.

CESNET, z.s.p.o. Logo