Postgresql Global Development Group
توجد ثغرة حقن SQL غير مصرح بها في واجهة برمجة تطبيقات تجريد قاعدة البيانات في Drupal Core، وتحديداً ضمن معالج شروط `EntityQuery` الخاص بـ PostgreSQL. تحدث المشكلة عندما يتم دمج مفاتيح مصفوفة PHP التي يتحكم فيها المهاجم، مثل `filter[...][condition][value][malicious key]`، مباشرة في معرفات SQL دون تطهير مناسب. تؤثر هذه الثغرة حصرياً على المواقع التي تستخدم قواعد بيانات PostgreSQL. يمكن للمستخدمين المجهولين عن بُعد استغلال ذلك للوصول الكامل إلى قاعدة البيانات، وتسريب البيانات الحساسة، وتصعيد الامتيازات إلى مسؤول النظام، وربما تنفيذ أوامر shell تعسفية على الخادم المضيف عبر تنفيذ التعليمات البرمجية عن بُعد (RCE) إذا كانت أذونات قاعدة البيانات مهيأة بشكل خاطئ (على سبيل المثال، السماح بـ `COPY FROM PROGRAM`). تم رصد أكثر من 15,000 محاولة هجوم ضد حوالي 6,000 موقع في 65 دولة، وكانت خدمات الألعاب والخدمات المالية هي الأهداف الرئيسية.