CVE-2026-6464

L'inclusion de données non fiables dans COPY de psql PostgreSQL peut permettre à un administrateur de serveur de provoquer l'exécution de lignes de données en tant que commandes psql, via injection d'erreur. Si la commande "COPY FROM STDIN" ou "\copy FROM STDIN" échoue avant que le serveur indique qu'il attend les lignes d'entrée, psql traite les lignes de données intégrées comme des commandes psql. "COPY FROM" avec un nom de fichier n'est pas affecté. L'administrateur du serveur n'a aucun contrôle inhérent sur les lignes de données, donc une attaque complète nécessite que l'attaquant acquière séparément le contrôle à la fois du serveur et des lignes de données. Alternativement, un attaquant contrôlant uniquement les lignes de données pourrait mener à bien une attaque grâce à une erreur fortuite qu'il ne contrôle pas. Les versions antérieures à PostgreSQL 18.6, 17.11, 16.15, 15.19 et 14.24 sont affectées.