Katalog podatności CVE

W PostgreSQL, w pg_dump, występuje włączenie niezaufanych danych, które pozwala złośliwemu superuserowi serwera źródłowego na wstrzyknięcie dowolnego kodu do wykonania podczas przywracania jako konto systemu operacyjnego klienta uruchamiające psql, poprzez rozszerzenie danych wejściowych meta-polecenia psql \restrict. Poprawka dla CVE-2025-8714 wprowadziła \restrict i \unrestrict w celu zablokowania tego ataku, ale samo \unrestrict było wystarczające do ataku. pg_dumpall jest również dotknięte. pg_restore jest dotknięte, gdy jest używane do generowania zrzutu w formacie plain. Nie-rdzeniowe użycie \restrict byłoby dotknięte, ale nie zidentyfikowano takiego użycia. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Pomylenie typów w cyklu życia "portalu"/kursora w PostgreSQL pozwala użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez ponowne utworzenie kursora lub innego portalu z różnymi typami. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w funkcji pg_restore_attribute_stats(), występuje błąd pomylenia typów, który pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez pomieszanie wartości range i multirange. W obrębie głównej wersji 18, dotknięte są wersje przed PostgreSQL 18.6. Wersje przed PostgreSQL 18 nie są dotknięte.

Zawinięcie liczby całkowitej w module fuzzystrmatch w PostgreSQL pozwala użytkownikowi na kierowanie zapisów do ogromnego zakresu adresów, wykonując dowolny kod jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez ekstremalne dane wejściowe do funkcji SQL levenshtein() lub levenshtein_less_equal(). Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w funkcji EXTRACT() deparse, występuje wstrzyknięcie SQL, które pozwala właścicielowi obiektu na wykonanie dowolnego SQL jako superuser poprzez wrogą definicję obiektu. Ataki dotykają szeroko konsumentów deparse wyrażeń, w tym pg_dump, polecenia psql takie jak \sf, oraz podobne użycie w narzędziach nie-rdzeniowych. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Pomylenie typów z argumentami typu danych "internal" w PostgreSQL pozwala każdemu użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez wywołania funkcji z tym typem argumentu. Typ "internal" reprezentuje klasę wzajemnie niekompatybilnych struktur danych nieprzeznaczonych do dostępu z SQL. System miał zapobiegać takim wywołaniom, ale luki w zabezpieczeniach pozostały. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w dopasowywaniu nazw argumentów, występuje przepełnienie bufora stosu, które pozwala twórcy obiektu na osiągnięcie nieznanych skutków poprzez liczbę parametrów OUT. Atak może zapisywać tylko bajty 0x0 i 0x1. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W 32-bitowych wersjach PostgreSQL, w modułach pltcl i plperl, występuje błąd zawinięcia liczby całkowitej, który pozwala twórcy obiektu na spowodowanie zbyt małej alokacji pamięci i zapisu poza jej zakresem poprzez spreparowane ciała funkcji. Może to umożliwić wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Podobne problemy zostały naprawione w CVE-2026-6473. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w pg_stat_statements w PostgreSQL pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez spreparowane zapytania zawierające stałe tablicowe. Podatne są wersje w obrębie głównej wersji 18 przed 18.6. Wersje przed PostgreSQL 18 nie są podatne.

W module PostgreSQL "refint" występuje błąd pomylenia typów, który pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Poprawka pojawiła się jako nie-bezpieczeństwowy raport o błędzie i została dodana do repozytorium git z tematem "refint: Remove plan cache.", bez numeru CVE. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w plperl przy zwracaniu powiązanego hasza (tied hash) pozwala właścicielowi funkcji na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez spreparowane ciało funkcji. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w funkcji to_char(timestamptz) w PostgreSQL pozwala osobie wybierającej strefę czasową na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez długi skrót strefy czasowej POSIX. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w estymatorze selektywności typu danych ctid, występuje błąd pomylenia typów, który pozwala twórcy obiektu na podgląd obliczenia pochodzącego z wartości dowolnego 4-bajtowego fragmentu pamięci, poprzez wybrany nie-ctid input. Chociaż obliczenie traci precyzję, odzyskanie znacznej wartości pamięci wydaje się możliwe. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w wyrażeniach regularnych (regexp) w PostgreSQL pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez tekst, który nie przeszedłby walidacji kodowania. Podatność ma wspólne pochodzenie z CVE-2026-2006, ale w tym przypadku wystąpił nieprzewidziany wzrost danych podczas konwersji przez pg_wchar. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Zawinięcie liczby całkowitej w funkcjach typów danych tsvector i tsquery w PostgreSQL pozwala nieuprzywilejowanemu użytkownikowi bazy danych na spowodowanie zbyt małej alokacji i zapisu poza zakresem, poprzez spreparowane duże dane wejściowe. Może to prowadzić do wykonania dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Typy te zazwyczaj pochodzą z logiki aplikacji, a nie od użytkownika aplikacji, więc ataki przez aplikację są mało prawdopodobne. Podobny problem naprawiono w CVE-2026-6473. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Serendipity przed wersją 2.6.0 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w filtrze serendipity_url_allowed(), który nie blokuje adresów IPv4 zakodowanych szesnastkowo, literałów IPv6 oraz zakresów link-local. Uwierzytelnieni użytkownicy z uprawnieniem adminImagesAdd mogą ominąć filtr, używając alternatywnych formatów adresów, aby uzyskać dostęp do wewnętrznych usług i pobrać treści odpowiedzi przez publiczny katalog uploads.

JupyterLab w wersjach >=4.6.0,<=4.6.1 oraz <=4.5.9 zawiera lukę w egzekwowaniu listy dozwolonych/zablokowanych w PyPIExtensionManager.install(). Brakujące 'await' powoduje, że coroutine is_install_allowed nigdy nie jest wykonywana, więc sprawdzenie listy dozwolonych/zablokowanych nie jest egzekwowane dla bezpośrednich wywołań install(). Standardowe API HTTP i interfejs Extension Managera nie są dotknięte, ponieważ wykonują osobne, poprawnie oczekiwane sprawdzenie. Problem dotyczy tylko wdrożeń, gdzie niestandardowe rozszerzenie lub integracja importuje PyPIExtensionManager i wywołuje install() bezpośrednio z nazwą pakietu wpływającą z niezaufanego wejścia, skonfigurowano listę dozwolonych/zablokowanych, włączono menedżer rozszerzeń PyPI oraz wyłączono jądra i terminale lub przekazano je do zdalnych hostów. Poprawiono w JupyterLab 4.6.2 i 4.5.10.

GitPython przed wersją 3.1.54 zawiera podatność na zdalne wykonanie kodu w zabezpieczeniu check_unsafe_options, które można obejść, przemycając opcje git wewnątrz wartości argumentów o pojedynczym znaku. Atakujący mogą dostarczyć spreparowane słowniki opcji do metod clone_from, fetch, pull, push, ls_remote, iter_commits, blame lub archive, aby wykonać dowolne polecenia systemu operacyjnego za pomocą parametru --upload-pack.

GitPython przed wersją 3.1.54 zawiera podatność na nadpisanie dowolnych plików w metodzie Diffable.diff, która nie waliduje opcji git przekazywanych przez kwargs. Atakujący mogą podać argument --output przez parametr other lub kwarg output, aby zapisać treść patchy do wybranych przez atakującego ścieżek plików z uprawnieniami procesu.

GitPython przed wersją 3.1.54 zawiera niekompletną listę blokowanych opcji w unsafe_git_clone_options, która pomija --template, umożliwiając atakującym wykonanie dowolnych poleceń podczas operacji klonowania. Atakujący mogą podać --template wskazujący na katalog zawierający złośliwe hooki post-checkout, które wykonują się podczas klonowania repozytorium.