CVE-2026-6471

HIGH7.2Publicada el 13 de agosto de 2026

Missing authorization in PostgreSQL logical decoding allows a non-superuser holding REPLICATION privilege to dlopen any file visible to the operating system account running the server, via the choice of logical decoding plugin. This in turn runs arbitrary code as that account. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.

Puntuación CVSS7.2 / 10CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Tipo de debilidad (CWE)CWE-862

Fabricantespostgresql

Productos afectados

Fabricantes	Prodotto	Versioni
postgresql	postgresql	< 14.24

PostGREShell, una vulnerabilidad en PostgreSQL convierte las cuentas de replicación en un trampolín para ejecutar código

CVE-2026-6471 permite a cuentas con permiso REPLICATION cargar código arbitrario en PostgreSQL y escalar a superusuario. Actualiza ya.

4 sept 20266 min de lecturaLeer

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de datos CVE

Productos afectados

Artículos relacionados

PostGREShell, una vulnerabilidad en PostgreSQL convierte las cuentas de replicación en un trampolín para ejecutar código