CVE-2026-55765 in CloudNativePG
Сводка
по VulDB • 20.08.2026
CloudNativePG — это платформа для управления базами данных PostgreSQL в средах Kubernetes. До версий 1.28.4 и 1.29.2 CloudNativePG включал пароли ролей в открытом виде (cleartext) в операторы `ALTER ROLE` и `CREATE ROLE`, генерируемые функцией SetUserPassword из pkg/management/postgres/utils/roles.go и appendPasswordOption из internal/management/controller/roles/postgres.go. Если pg_stat_statements был предварительно загружен с включенным параметром track_utility, а ненадежный арендатор (tenant) имел права pg_monitor или pg_read_all_stats, он мог восстановить пароли суперпользователя платформы или владельца приложения, повторно подключиться через включенный доступ к TCP для суперпользователей и выполнять команды операционной системы в поддомене базы данных с помощью `COPY ... FROM PROGRAM`. Кластеры, использующие верификаторы SCRAM-SHA-256 в секретах (Secrets) управляемых ролей, не были затронуты. Эта проблема исправлена в версиях 1.28.4, 1.29.2 и 1.30.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.