CVE-2026-120065 in psqlODBC
Zusammenfassung
von VulDB • 02.11.2026
Für einen aktualisierbaren Cursor über eine Tabelle ohne OIDs mit einer Autoinkrement-Spalte vom Typ int4 verwendet psqlODBC diese Spalte zur Identifizierung von Zeilen. Es setzt den Namen der Spalte, wie er vom Server gemeldet wird, in seinen Keyset-Abfragen und in der WHERE-Klausel seiner positionierten SELECT-, UPDATE- und DELETE-Anweisungen zwischen doppelte Anführungszeichen, ohne dabei etwaige doppelte Anführungszeichen im Namen zu escapen. Ein Spaltenname, der ein doppeltes Anführungszeichen enthält, verändert daher den SQL-Befehl, den der Treiber mit den Berechtigungen der Anwendung ausführt, einschließlich der Zeilen, die von einem positionierten UPDATE oder DELETE betroffen sind. Jeder Datenbankbenutzer, der eine Tabelle erstellen kann, auf die die Anwendung über einen aktualisierbaren Cursor zugreift, kann einen solchen Namen wählen; dies gilt auch für Server, die unter den aktuellen SSL-Einstellungen nicht als vertrauenswürdig eingestuft werden. Versionen vor psqlODBC 18.00.0006 sind betroffen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.