CVE-2026-6464

Die Einbindung nicht vertrauenswürdiger Daten in PostgreSQL psql COPY kann es einem Serveradministrator ermöglichen, mittels Error Injection die Ausführung von Datenzeilen als psql-Befehle hervorzurufen. Wenn der Befehl "COPY FROM STDIN" oder "\copy FROM STDIN" fehlschlägt, bevor der Server anzeigt, dass er Eingabezeilen erwartet, verarbeitet psql die Inline-Datenzeilen als psql-Befehle. "COPY FROM" mit einem Dateinamen ist nicht betroffen. Der Serveradministrator hat keine inhärente Kontrolle über die Datenzeilen, daher erfordert ein vollständiger Angriff, dass der Angreifer separat die Kontrolle über sowohl den Server als auch die Datenzeilen erlangt. Alternativ könnte ein Angreifer, der allein die Datenzeilen kontrolliert, einen Angriff durch einen zufälligen Fehler, den er nicht kontrolliert, vollenden. Versionen vor PostgreSQL 18.6, 17.11, 16.15, 15.19 und 14.24 sind betroffen.