CVE-2026-15742
PostgreSQL fuzzystrmatch يكتب عناوين عشوائية فعليًا، عبر التفاف الأعداد الصحيحة
- تم النشر
- 13/08/2026
- محدث
- 29/08/2026
- تخصيص CNA
- PostgreSQL
- الأدلة المرصودة
- 30/10/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 48.5%
- تاريخ الموديل
- 31/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
يسمح تجاوز سعة الأعداد الصحيحة (Integer wraparound) في PostgreSQL fuzzystrmatch للمستخدم بتوجيه عمليات الكتابة إلى نطاق هائل من العناوين، وتنفيذ تعليمات برمجية عشوائية بصلاحيات مستخدم نظام التشغيل الذي يشغّل قاعدة البيانات، وذلك عبر مدخلات متطرفة إلى دالة SQL المسماة levenshtein() أو levenshtein_less_equal(). تتأثر الإصدارات الأقدم من PostgreSQL 18.6 و17.11 و16.15 و15.19 و14.24.
المصادر
- ExploitsPoC
سِيْفِيْات (CVEs) أصلية، وإثباتات مفاهيم (PoCs) للاستغلال، ونشرات أمنية تتضمن سلاسل ثغرات مفصّلة، وتصعيد الامتيازات، وتقنيات الهروب من الحاويات لاختبار الاختراق والبحث.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.