CVE-2026-61819

Nome do Software Vulnerável e Versões Afetadas pg partman versões anteriores a 5.5.0

Descrição Quando o pg jobmon está instalado e part config.jobmon está definido como true, manipuladores de exceção em diversas funções inserem a variável p parent table literalmente dentro de uma string SQL usada para chamar a função pg jobmon.add job(). Um usuário com privilégios de partman pode criar um nome de tabela pai contendo uma aspa simples para encerrar a literal e injetar SQL. Se o processo pg partman bgw atingir o caminho de exceção afetado, o SQL injetado é executado com os privilégios de pg partman bgw.role, que geralmente são de superusuário do PostgreSQL. Isso pode resultar no comprometimento total do banco de dados e na execução de comandos do sistema operacional como a conta de serviço do PostgreSQL. A linha persistente part config pode disparar essa escalação em ciclos de manutenção posteriores.

Recomendações Atualizar para a versão 5.5.0.