CVE-2026-15741
La inyección SQL en el deparse de EXTRACT() de PostgreSQL permite al propietario de un objeto ejecutar SQL arbitrario como superusuario mediante una definición de objeto hostil. Los ataques afectan ampliamente a los consumidores del deparse de expresiones, incluidos pg_dump, comandos de psql como \sf y cualquier uso similar en herramientas no centrales. Las versiones anteriores a PostgreSQL 18.6, 17.11, 16.15, 15.19 y 14.24 están afectadas.
Puntuación CVSS8.8 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HTipo de debilidad (CWE)CWE-89
Fabricantespostgresql
Productos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| postgresql | postgresql | < 14.24 |
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.