CVE-2025-1094
APIs de citação do PostgreSQL falham em neutralizar a sintaxe de citação em texto que falha na validação de codificação
- Publicado
- 13 de fev. de 2025
- Atualizado
- 14 de mar. de 2025
- Atribuindo CNA
- PostgreSQL
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · próximos 30 dias
- Percentil
- 99,8%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
A neutralização inadequada da sintaxe de citação nas funções PQescapeLiteral(), PQescapeIdentifier(), PQescapeString() e PQescapeStringConn() do libpq do PostgreSQL permite que um fornecedor de entrada do banco de dados alcance injeção de SQL em determinados padrões de uso. Especificamente, a injeção de SQL requer que o aplicativo use o resultado da função para construir a entrada para o psql, o terminal interativo do PostgreSQL. Da mesma forma, a neutralização inadequada da sintaxe de citação nos programas utilitários de linha de comando do PostgreSQL permite que uma fonte de argumentos de linha de comando alcance injeção de SQL quando client_encoding é BIG5 e server_encoding é um de EUC_TW ou MULE_INTERNAL. As versões anteriores ao PostgreSQL 17.3, 16.7, 15.11, 14.16 e 13.19 são afetadas.
Fontes
modules/exploits/linux/http/beyondtrust_pra_rs_unauth_rce.rb
Metasploit Framework modulesCondições declaradas
- platform: Linux,Unix($.exploit_linux/http/beyondtrust_pra_rs_unauth_rce.platform)
- verification: check_declared($.exploit_linux/http/beyondtrust_pra_rs_unauth_rce.check)
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.