PT-2026-138450
CVE-2026-69128
·
Publicado
2026-11-06
·
Atualizado
2026-11-06
Descrição por
CVSS 4.0
4.6
MédiaMétricasAV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Nome do Software Vulnerável e Versões Afetadas
Chartbrew versões anteriores a 5.2.3
Descrição
A lista de bloqueio de validação SQL do PostgreSQL da ferramenta de consulta de IA não inclui funções de sistema de arquivos do PostgreSQL irmãs e não corresponde a formas de identificadores entre aspas duplas de funções negadas. Isso permite que um Proprietário ou Administrador de equipe com uma conexão PostgreSQL habilitada para IA ignore as expressões regulares da lista de negação. Se a função do banco de dados tiver permissões para chamar funções de arquivo do servidor, como um superusuário do PostgreSQL ou a função
pg read server files, eles podem resolver caminhos absolutos para arquivos legíveis pelo usuário do SO do PostgreSQL. Não superusuários estão limitados ao escopo relativo ao PGDATA. Este problema requer que os recursos de IA estejam habilitados e que o usuário possua privilégios elevados.Recomendações
Atualize para a versão 5.2.3.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾