CVE-2026-61781

Nome do Software Vulnerável e Versões Afetadas pg partman versões anteriores a 5.5.0

Descrição A função create partition time() lê o valor time encoder da tabela part config e o interpola em uma instrução SELECT executada dinamicamente sem a citação adequada de identificadores. Um usuário com privilégios de INSERT e UPDATE de partman user pode injetar SQL em vez de um nome de função. Quando o worker pg partman bgw cria uma partição filha para um conjunto com chave de texto ou UUID, ele executa o SQL injetado com os privilégios de pg partman bgw.role, que geralmente são de superusuário do PostgreSQL. Isso pode resultar no comprometimento total do banco de dados e na execução de comandos do sistema operacional como a conta de serviço do PostgreSQL.

Recomendações Atualize o pg partman para a versão 5.5.0.