PT-2024-2043

CVE-2024-27304

Publicado

2024-03-04

Atualizado

2026-09-18

Descrição por

CVSS 2.0

Crítica

MétricasAV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do pgx anteriores à 4.18.2

Versões do pgx anteriores à 5.5.4

Descrição

Pode ocorrer injeção de SQL se um invasor conseguir fazer com que uma única consulta ou mensagem de ligação exceda 4 GB de tamanho. Um estouro de inteiro no cálculo do tamanho da mensagem pode fazer com que essa mensagem de grande porte seja enviada como várias mensagens sob o controle do invasor.

Recomendações

Para versões do pgx anteriores à 4.18.2, atualize para a versão 4.18.2 ou posterior.

Para versões do pgx anteriores à 5.5.4, atualize para a versão 5.5.4 ou posterior.

Como solução temporária, rejeite entradas de usuário grandes o suficiente para fazer com que uma única consulta ou mensagem de ligação exceda 4 GB de tamanho.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Paul-Gerste-Sonarsource

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-190: Integer Overflow or Wraparound

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados