CVE-2026-61819 in Pg_partman
Zusammenfassung
von VulDB • 18.09.2026
pg_partman ist eine PostgreSQL-Erweiterung zur Verwaltung partitionierter Tabellen nach Zeit oder ID. Vor Version 5.5.0, wenn pg_jobmon installiert und part_config.jobmon auf true gesetzt ist, platzieren Ausnahmehandler in mehreren pg_partman-Funktionen p_parent_table wörtlich (verbatim) innerhalb eines SQL-Zeichenfolgenliterals, das zum Aufruf von pg_jobmon.add_job() verwendet wird. Ein partman_user kann einen Namen für die übergeordnete Tabelle erstellen, der ein einfaches Hochkomma enthält, welches das Literal beendet und beim Ausführen eines betroffenen Ausnahme-Pfads SQL-Injektion ermöglicht. Wenn pg_partman_bgw diesen Pfad erreicht, wird der injizierte SQL-Code mit den Berechtigungen von pg_partman_bgw.role ausgeführt, die standardmäßig PostgreSQL-Superuser-Rechte sind, was eine Kompromittierung der gesamten Datenbank und die Ausführung von Betriebssystembefehlen als PostgreSQL-Dienstkonto ermöglicht. Die persistente part_config-Zeile kann diese Eskalation bei späteren Wartungszyklen erneut auslösen. Dieses Problem wurde in Version 5.5.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.