PT-2026-40921 · Postgresql Global Development Group+3 · Postgresql+2

Yu Kunpeng · Publicado 2026-05-14 · Atualizado 2026-06-04 · CVE-2026-6476

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas PostgreSQL versões 17.0 a 17.9 PostgreSQL versões 18.0 a 18.3

Descrição Uma injeção de SQL na função pg createsubscriber permite que um invasor com direitos de pg create subscription execute comandos SQL arbitrários com privilégios de superusuário. O ataque é ativado quando o pg createsubscriber for executado posteriormente.

Recomendações Atualizar o PostgreSQL versão 17 para 17.10. Atualizar o PostgreSQL versão 18 para 18.4.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2026-07099

BIT-POSTGRESQL-2026-6476

CVE-2026-6476

ECHO-B729-AA9A-E866

OPENSUSE-SU-2026:10809-1

OPENSUSE-SU-2026:10828-1

SUSE-SU-2026:22077-1

USN-8294-1

Produtos afetados

Linuxmint

Postgresql

Ubuntu

Referências · 59

• https://bugzilla.suse.com/1265180 · Nota
• https://suse.com/security/cve/CVE-2026-6476.html · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-6476 · Aviso do Fabricante
• https://postgresql.org/support/security/CVE-2026-6476 · Aviso do Fabricante
• https://bugzilla.suse.com/1265172 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-6476 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-6476 · Nota de Segurança
• https://twitter.com/UpwindMDR/status/2054938060094054611 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-6479 · Nota
• https://bugzilla.suse.com/1265178 · Nota
• https://bugzilla.suse.com/1265174 · Nota
• https://bugzilla.suse.com/1265173 · Nota
• https://ubuntu.com/security/CVE-2026-6477 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-6472 · Aviso do Fabricante
• https://bugzilla.suse.com/1265175 · Nota