CVE-2026-6460

Sự nhầm lẫn về kiểu dữ liệu trong PostgreSQL sau khi thực thi ALTER ... SET DATA TYPE thực thi mã tùy ý

Trong PostgreSQL, sự nhầm lẫn về kiểu dữ liệu cho phép người tạo đối tượng thực thi mã tùy ý dưới dạng người dùng chạy cơ sở dữ liệu, thông qua ALTER ... SET DATA TYPE. Các con đường tấn công DDL khác cũng tồn tại, như "ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN". Hệ thống không theo dõi đầy đủ các giá trị đã được phân loại, và các giá trị không tự xác định. Các giá trị cũ có thể xuất hiện trong các mục trong từ điển dữ liệu, biến PL/pgSQL và nhiều phần khác của hệ thống. PostgreSQL Versions trước PostgreSQL 18.7, 17.12, 16.16, 15.20, và 14.25 bị ảnh hưởng.

CNA cấp mã

PostgreSQL

Ngày công bố

12/11/2026

Cập nhật

13/11/2026

CVSS (NVD)

8.8 · HIGH

Loại lỗi (CWE)

CWE-843 — Access of Resource Using Incompatible Type ('Type Confusion')

EPSS (FIRST)

0.59% khả năng bị khai thác trong 30 ngày