CVE-2026-6464 in PostgreSQL
Résumé
par VulDB • 14/08/2026
Une inclusion de données non fiable dans la commande COPY de psql pour PostgreSQL peut permettre à un administrateur serveur d'entraîner l'exécution des lignes de données en tant que commandes psql, via une injection d'erreur. Si la commande « COPY FROM STDIN » ou « \copy FROM STDIN » échoue avant que le serveur n'indique qu'il attend les lignes d'entrée, psql traite les lignes de données intégrées comme des commandes psql. L'utilisation de « COPY FROM » avec un nom de fichier n'est pas affectée. L'administrateur du serveur ne dispose d'aucun contrôle inhérent sur les lignes de données ; une attaque complète nécessite donc que l'attaquant acquière séparément le contrôle à la fois du serveur et des lignes de données. Alternativement, un attaquant contrôlant uniquement les lignes de données pourrait mener à bien une attaque grâce à une erreur fortuite qu'il ne maîtrise pas. Les versions antérieures à PostgreSQL 18.5, 17.11, 16.15, 15.19 et 14.24 sont concernées.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.