CVE-2026-41889

Nome do Software Vulnerável e Versões Afetadas pgx versões anteriores a 5.9.2

Descrição Uma injeção de SQL pode ocorrer quando o protocolo simples não padrão é usado em conjunto com um literal de string com aspas de cifrão (dollar quoted string literal) na consulta SQL. Se esse literal de string contiver texto que seria interpretado como um marcador de posição (placeholder) fora de um literal de string e o valor desse marcador for controlável por um invasor, o problema pode ser explorado.

Recomendações Atualize para a versão 5.9.2. Como alternativa temporária, não utilize o protocolo simples para executar consultas que utilizem literais de string com aspas de cifrão contendo possíveis marcadores de posição.