CVE-2026-14666

Tracciamento incompleto in PostgreSQL delle modifiche all'appartenenza ai ruoli, agli attributi dei ruoli e alla proprietà del database consente a una query di continuare a utilizzare politiche di sicurezza a livello di riga memorizzate nella cache dopo che tali modifiche richiedono una politica diversa, tramite riutilizzo del piano. Le politiche obsolete persistono finché un altro evento non invalida la cache o la terminazione della connessione non termina la sessione. Ciò consente a un utente di completare letture e modifiche che erano state recentemente consentite ma ora sono vietate. Un attaccante deve adattare un attacco al modello di rimozione dei privilegi di una particolare applicazione e alle politiche di sicurezza a livello di riga specifiche per ruolo. Le versioni precedenti a PostgreSQL 18.6, 17.11, 16.15, 15.19 e 14.24 sono interessate.