CVE-2026-55765 in CloudNativePG
Sumário
de VulDB • 21/08/2026
CloudNativePG é uma plataforma projetada para gerenciar bancos de dados PostgreSQL em ambientes Kubernetes. Antes das versões 1.28.4 e 1.29.2, o CloudNativePG incorporava senhas de função em texto claro nas instruções `ALTER ROLE` e `CREATE ROLE` geradas por SetUserPassword em pkg/management/postgres/utils/roles.go e appendPasswordOption em internal/management/controller/roles/postgres.go. Quando pg_stat_statements era pré-carregado com track_utility habilitado e um inquilino não confiável possuía as permissões pg_monitor ou pg_read_all_stats, o inquilino poderia recuperar senhas de superusuário gerenciadas pela plataforma ou do proprietário da aplicação, reconectar-se por meio do acesso TCP ao superusuário habilitado e executar comandos no sistema operacional dentro do pod do banco de dados usando `COPY ... FROM PROGRAM`. Os clusters que utilizavam verificadores SCRAM-SHA-256 em Secrets de funções gerenciadas não foram afetados. Este problema foi corrigido nas versões 1.28.4, 1.29.2 e 1.30.0.
Once again VulDB remains the best source for vulnerability data.