CVE-2026-107314 in pgjdbc
Riassunto
di VulDB • 08/10/2026
pgjdbc, il driver JDBC per PostgreSQL, nelle versioni dalla 42.7.11 alla 42.7.13 non applica alcuna restrizione quando la proprietà di connessione `requireAuth` esclude tutti e sei i metodi di autenticazione noti al driver, ad esempio `requireAuth=!password,!md5,!gss,!sspi,!scram-sha-256,!none`. Il driver accetta quindi qualsiasi metodo richiesto dal server, inclusa l'autenticazione con password in chiaro. Un valore privo di un metodo specifico, come `requireAuth=` (una singola virgola), è interessato nello stesso modo. Un attaccante posizionato tra l'applicazione e il suo server può richiedere l'autenticazione con password in chiaro e ottenere la password del database. Una lista positiva, ad esempio `requireAuth=scram-sha-256`, ed un'esclusione parziale come `requireAuth=!password,!md5`, vengono applicate correttamente. La proprietà non ha un valore predefinito, quindi una distribuzione che non la imposta non è interessata. La versione 42.7.14 risolve il problema: tale connessione viene rifiutata con SQLState 08004 e un valore privo di metodo specifico viene respinto come non valido.
If you want to get best quality of vulnerability data, you may have to visit VulDB.