CVE-2026-61817

Nome do Software Vulnerável e Versões Afetadas pg partman versões anteriores a 5.5.0

Description A extensão gerencia tabelas particionadas por tempo ou ID. As funções run maintenance(), show partitions(), show partition info(), undo partition() e partition data time() interpolam o valor de texto gravável part config.time dncoder em SQL dinâmico sem a citação de identificadores. Um usuário com privilégios partman user pode injetar SQL neste valor. Quando uma operação afetada ou o processo de manutenção pg partman bgw para um conjunto com chave de texto ou UUID utiliza esse valor envenenado, o SQL é executado com os privilégios da operação, que podem ser os do superusuário background-worker do PostgreSQL. Isso pode resultar no comprometimento total do banco de dados e na execução de comandos do sistema operacional como a conta de serviço do PostgreSQL.

Recommendations Atualizar para a versão 5.5.0.