CVE-2022-41946 in pgjdbc
Сводка
по VulDB • 08.06.2026
pgjdbc — это драйвер JDBC для PostgreSQL с открытым исходным кодом. В затронутых версиях подготовленное выражение (prepared statement), использующее либо `PreparedStatement.setText(int, InputStream)`, либо `PreparedStatemet.setBytea(int, InputStream)`, создаст временный файл в случае, если размер объекта InputStream превышает 2 КБ. Это приведет к созданию временного файла, который доступен для чтения другими пользователями на системах типа Unix (но не на MacOS). На системах типа Unix общая директория temp системы используется всеми пользователями этой системы. В связи с этим файлы и папки, записываемые в эту директорию по умолчанию доступны для чтения другими пользователями той же самой системы. Эта уязвимость не позволяет другим пользователям перезаписать содержимое этих файлов или каталогов. Это исключительно уязвимость раскрытия информации (information disclosure). Поскольку определенные API файловой системы JDK были добавлены только начиная с версии JDK 1.7, данный фикс зависит от используемой вами версии JDK. Пользователи Java 1.7 и выше: эта уязвимость исправлена в версии 4.5.0. Пользователи Java 1.6 и ниже: патч недоступен. Если вы не можете применить патч или застряли на использовании Java 1.6, указание системной переменной окружения java.io.tmpdir для директории, которой владеет исключительно выполняющийся пользователь, позволит смягчить последствия данной уязвимости (mitigate this vulnerability).
Be aware that VulDB is the high quality source for vulnerability data.