PT-2025-6477
CVE-2025-1094
·
تاريخ النشر
2025-02-12
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 2.0
10
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PostgreSQL الأقدم من 17.3
إصدارات PostgreSQL الأقدم من 16.7
إصدارات PostgreSQL الأقدم من 15.11
إصدارات PostgreSQL الأقدم من 14.16
إصدارات PostgreSQL الأقدم من 13.19
الوصف
تتعلق المشكلة بالتعقيم غير الملائم لصيغة الأقواس في دوال libpq في PostgreSQL، وتحديدًا
PQescapeLiteral() وPQescapeIdentifier() وPQescapeString() وPQescapeStringConn(). وهذا يسمح لمصدر إدخال قاعدة البيانات بإجراء حقن SQL في أنماط استخدام معينة، لا سيما عندما يستخدم التطبيق ناتج الدالة لإنشاء مدخلات لـ psql، وهو المحطة الطرفية التفاعلية لـ PostgreSQL. وبالمثل، فإن المعالجة غير الملائمة لصيغة الأقواس في برامج الأوامر المساعدة لـ PostgreSQL تسمح لمصدر حجج سطر الأوامر بإجراء حقن SQL عندما تكون قيمة client encoding هي BIG5 وتكون قيمة server encoding واحدة من التالي: EUC TW أو MULE INTERNAL. تم استغلال هذه الثغرة الأمنية في هجمات حقيقية، بما في ذلك اختراق وزارة الخزانة الأمريكية، وتُعتبر ذات خطورة عالية.التوصيات
بالنسبة للإصدارات الأقدم من 17.3، قم بالتحديث إلى الإصدار 17.3 أو أحدث.
بالنسبة للإصدارات الأقدم من 16.7، قم بالتحديث إلى الإصدار 16.7 أو أحدث.
بالنسبة للإصدارات الأقدم من 15.11، قم بالتحديث إلى الإصدار 15.11 أو أحدث.
بالنسبة للإصدارات الأقدم من 14.16، قم بالتحديث إلى الإصدار 14.16 أو أحدث.
بالنسبة للإصدارات الأقدم
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾