Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] PostgreSQL opravuje 11 zraniteľností

PostgreSQL verziami 18.4, 17.10, 16.14, 15.18 a 14.23 opravuje 11 zraniteľností. Najzávažnejšie z nich sú opísané nižšie, zvyšné nájdete na [1].

PostgreSQL - SQL injection (CVE-2026-6637)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi s nízkymi databázovými oprávneniami je kvôli SQL injection v PostgreSQL module refint umožnené spustiť ľubovoľný kód s oprávneniami používateľa operačného systému, pod ktorým táto databáza beží [2].

Zraniteľnosť sa nachádza v produkte:

  • PostgreSQL; >=18, <18.4; >=17, <17.10; >=16, <16.14; >=15, <15.18; >=14, <14.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-6637 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 5. 2026.

PostgreSQL - prepísanie pamäte zásobníka (CVE-2026-6477)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi (ktorý ovláda databázový server) je kvôli použitiu nebezpečnej funkcie PQfn vo funkciách lo_* klientskej knižnice libpq umožnené prepísať pamäť zásobníka pripojeného klienta ľubovoľne veľkou odpoveďou a potenciálne spustiť kód [3].

Zraniteľnosť sa nachádza v produkte:

  • PostgreSQL; >=18, <18.4; >=17, <17.10; >=16, <16.14; >=15, <15.18; >=14, <14.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 18. 5. 2026.

PostgreSQL - prepísanie súborov (CVE-2026-6475)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi (s oprávnením superuser v zdrojovej inštancii) je kvôli nekontrolovanému spracovaniu symbolických odkazov v PostgreSQL pg_basebackup a pg_rewind umožnené prepísať lokálne súbory a potenciálne ovládnuť účet operačného systému [4].

Zraniteľnosť sa nachádza v produkte:

  • PostgreSQL; >=18, <18.4; >=17, <17.10; >=16, <16.14; >=15, <15.18; >=14, <14.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 18. 5. 2026.

PostgreSQL - pretečenie celočíselnej hodnoty (CVE-2026-6473)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je kvôli celočíselnému pretečeniu vo viacerých funkciách PostgreSQL servera umožnené spôsobiť poddimenzovanú alokáciu pamäte a zápis mimo vyhradených hraníc vedúci k DoS [5].

Zraniteľnosť sa nachádza v produkte:

  • PostgreSQL; >=18, <18.4; >=17, <17.10; >=16, <16.14; >=15, <15.18; >=14, <14.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 18. 5. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 5. 6. 2026.

CESNET, z.s.p.o. Logo