anonhaven
Ad

CVE-2026-19634

MEDIUM CVSS 3.1: 6,4 EPSS 0.18%
Обновлено 9 сентября 2026
PostgreSQL
Параметр Значение
CVSS 6,4 (MEDIUM)
Тип уязвимости CWE-89 (SQL-инъекция)
Поставщик PostgreSQL
Публичный эксплойт Нет

PostgreSQL Anonymizer содержит уязвимость SQL-инъекции в двух функциях импорта. Пользователь может создать вредоносный документ JSON, содержащий специально созданные имена объектов. Если суперпользователь впоследствии вызывает anon.import_database_rules() или anon.import_roles_rules(), вредоносный код выполняется с привилегиями суперпользователя.

Проблема исправлена ​​в PostgreSQL Anonymizer 3.1.4 и более поздних версиях.

Показать оригинальное описание (EN)

PostgreSQL Anonymizer contains a SQL injection vulnerability in two import functions. A user can create a malicious JSON document containing specially crafted object names. If a superuser subsequently calls anon.import_database_rules() or anon.import_roles_rules(), the malicious code is executed with superuser privileges. The issue is fixed in PostgreSQL Anonymizer 3.1.4 and later

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Высокая
Сложно эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Требуется
Нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v3.1

Тип уязвимости (CWE)

CWE-89 SQL Injection (SQL-инъекция)

Уязвимые продукты

dalibo:postgresql anonymizer

Ссылки 1

https://gitlab.com/dalibo/postgresql_anonymizer/-/issues/665
f86ef6dc-4d3a-42ad-8f28-e6d5547a5007
Share Post Share Share Share

Связанные уязвимости

CVE-2026-87016

PostgreSQL

8,1

CVE-2026-86464

PostgreSQL

9,9

CVE-2026-83534

PostgreSQL

6,4

CVE-2026-19633

PostgreSQL

8,8

CVE-2026-85689

PostgreSQL

7,1