CVE-2026-54711

NiskieCVSS 2.4

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

pghoard, demon kopii zapasowych PostgreSQL, w wersjach przed 2.7.1 loguje informacje o połączeniu do bazy, w tym nazwę użytkownika i hasło, na poziomie debugowania podczas korzystania z .pgpass. Problem został naprawiony w wersji 2.7.1.

Ocena ryzyka

Poświadczenia bazy danych mogą wyciec do plików logów, umożliwiając nieuprawniony dostęp do bazy PostgreSQL osobom mającym wgląd w logi.

Rekomendacja

Zaktualizuj pghoard do wersji 2.7.1 lub nowszej. Sprawdź i oczyść istniejące logi debugowe z potencjalnie ujawnionych poświadczeń oraz rozważ rotację haseł.

Inne podatności w pghoard

CVE-2026-63120Wysokie
Niedokończona poprawka podatności path traversal w pghoard (demon kopii zapasowych PostgreSQL) pozwala atakującemu z dostępem zapisu do magazynu obiektów (S3, GCS, Azure) na zapis plików i tworzenie katalogów poza katalogiem danych PostgreSQL. Złośliwy manifest kopii zapasowej delta z sekwencjami path traversal może zapisać dowolne dane na hoście podczas operacji przywracania. Podatność naprawiono w wersji 2.7.2.

Oryginalny opis (angielski, źródło NVD)

pghoard is a PostgreSQL backup daemon and restore tooling that stores backup data in cloud object stores. Prior to version 2.7.1, when using .pgpass, database connection information including the username and password will be logged at the debug level. This issue has been patched in version 2.7.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS