CVE-2026-14678
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W PostgreSQL wykryto podatność polegającą na odczycie poza zakresem w funkcji picksplit indeksu pg_trgm, która czyta dane poza końcem bufora sterty. Może to pozwolić osobie utrzymującej tabelę na wywnioskowanie ograniczonych wartości pamięci, poprzez sygnał stratny wyborów podziału indeksu. Podatne są wersje przed PostgreSQL 18.5, 17.11, 16.15, 15.19 i 14.24.
Ocena ryzyka
Ryzyko obejmuje potencjalne ujawnienie fragmentów pamięci, co może prowadzić do wycieku wrażliwych danych lub ułatwić dalsze ataki.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji z poprawką oraz ograniczenie uprawnień do zarządzania indeksami tylko zaufanym administratorom.
Oryginalny opis (angielski, źródło NVD)
Buffer over-read in PostgreSQL pg_trgm index picksplit function reads past end of a heap buffer. This might allow a table maintainer to infer limited memory values, via the lossy signal of index split choices. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.