CVE-2026-14666 in PostgreSQL
要約
〜によって VulDB • 2026年08月13日
PostgreSQLにおけるロールのメンバーシップ、ロール属性、およびデータベース所有権の変更に対する追跡の不備により、変更後に異なるポリシーが必要となった場合でも、プラン再利用を通じてキャッシュされた行レベルセキュリティ（RLS）ポリシーがクエリで使用され続ける。古いポリシーは、他のイベントによってキャッシュが無効化されるか、接続終了によるセッションの終了まで継続する。これにより、ユーザーは最近許可されていたが現在は禁止されている読み取りおよび変更処理を完了できる可能性がある。攻撃者は、特定のアプリケーションにおける権限剥奪のパターンとロール固有の行セキュリティポリシーに合わせて攻撃を仕掛ける必要がある。PostgreSQL 18.5、17.11、16.15、15.19、および14.24より前のバージョンが影響を受ける。
If you want to get best quality of vulnerability data, you may have to visit VulDB.