CVE-2026-18024
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W PostgreSQL wykryto podatność polegającą na odczycie poza zakresem w funkcji SQL ascii(), która pozwala użytkownikowi na ujawnienie do 3 bajtów poza końcem określonej alokacji, poprzez spreparowaną wartość tekstową. Jest to ta sama klasa defektu, którą naprawiono w CVE-2026-2006, choć ten przypadek ma mniejszy wpływ. Podatne są wersje przed PostgreSQL 18.5, 17.11, 16.15, 15.19 i 14.24.
Ocena ryzyka
Ryzyko obejmuje potencjalne ujawnienie fragmentów pamięci, co może prowadzić do wycieku wrażliwych danych przechowywanych w pamięci serwera.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji zawierającej poprawkę oraz ograniczenie dostępu do funkcji ascii() tylko zaufanym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
Buffer over-read in PostgreSQL ascii() SQL function allows a user to disclose up to 3 bytes after the end of a specific allocation, via a crafted text value. This is the same class of defect that CVE-2026-2006 fixed, though this instance has less impact. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.