PT-2026-145904
CVE-2026-126196
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
pgEdge Postgres MCP Server الإصدارات السابقة لـ 1.1.0
الوصف
قد تقوم الدالة
query database في اتصال للقراءة فقط بإرسال بيانات غير معروفة عبر pgx Exec بدون معاملات ربط. يؤدي ذلك إلى تفعيل بروتوكول الاستعلام البسيط لـ PostgreSQL، مما يسمح بإرسال استعلامات متعددة مفصولة بفاصلة منقوطة في طلب واحد. إذا كان دور الاتصال يمتلك صلاحيات الكتابة، يمكن للمستدعي دمج تغييرات حالة الجلسة أو المعاملات مع عمليات كتابة في قاعدة البيانات. بالإضافة إلى ذلك، قد تؤدي حالة الجلسة المجمعة إلى بقاء الاستدعاءات اللاحقة قابلة للكتابة، مما يهدد سلامة وتوافر عمليات النشر التي تعتمد على إعداد القراءة فقط كحد أمني.التوصيات
تحديث pgEdge Postgres MCP Server إلى الإصدار 1.1.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾