CVE-2026-14666

Unvollständige Nachverfolgung in PostgreSQL von Änderungen an Rollenmitgliedschaft, Rollenattributen und Datenbankeigentum ermöglicht es einer Abfrage, über Planwiederverwendung weiterhin zwischengespeicherte Row-Level-Security-Richtlinien zu verwenden, nachdem diese Änderungen eine andere Richtlinie erfordern. Veraltete Richtlinien bleiben bestehen, bis ein anderes Ereignis den Cache invalidiert oder die Beendigung der Verbindung die Sitzung beendet. Dies ermöglicht es einem Benutzer, Lese- und Änderungsvorgänge abzuschließen, die kürzlich noch zulässig waren, nun aber verboten sind. Ein Angreifer muss einen Angriff auf das spezifische Muster des Rechteentzugs und die rollenspezifischen Row-Security-Richtlinien einer bestimmten Anwendung zuschneiden. Versionen vor PostgreSQL 18.6, 17.11, 16.15, 15.19 und 14.24 sind betroffen.