CVE-2026-14666

El seguimiento incompleto en PostgreSQL de los cambios en la pertenencia a roles, los atributos de rol y la propiedad de la base de datos permite que una consulta siga utilizando políticas de seguridad a nivel de fila almacenadas en caché después de que esos cambios requieran una política diferente, mediante la reutilización del plan. Las políticas obsoletas continúan hasta que otro evento invalide la caché o la terminación de la conexión finalice la sesión. Esto permite a un usuario completar lecturas y modificaciones que estaban recientemente permitidas pero ahora están prohibidas. Un atacante debe adaptar un ataque al patrón específico de eliminación de privilegios de una aplicación concreta y a las políticas de seguridad de filas específicas de rol. Las versiones anteriores a PostgreSQL 18.6, 17.11, 16.15, 15.19 y 14.24 están afectadas.