Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-120062

psqlODBC sürücüsünde SQLSpecialColumns üzerinden SQL enjeksiyonu

PostgreSQL psqlODBC

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
1 gün
Kaydı açan
PostgreSQL

Yönetici özeti

Bu açık, veritabanına bağlanan uygulamaların güvenilmeyen girdileri işlemesi durumunda veri sızıntısı veya veri bozulması riskini doğurur. Etkilenen bileşen yaygın kullanılan bir veritabanı sürücüsü olduğundan, şirketlerin bu güncellemeyi öncelikli olarak yapması gerekir.

ÖzetTürkçe

psqlODBC sürücüsündeki SQLSpecialColumns fonksiyonu, aldığı tablo ve şema adlarını katalog sorgusuna kaçış (escape) işlemi yapmadan ekler; diğer katalog fonksiyonları ise bu adları düzgün kaçırır. Uygulama bu fonksiyona güvenilmeyen bir tablo veya şema adı verirse, sorguyu yapan taraf bağlantının yetkileriyle keyfi SQL çalıştırabilir. Etkilenen sürüm 18.00.0006 öncesidir.

Saldırgan ne yapabilir?

Saldırgan, bağlantının yetkileriyle keyfi SQL komutları çalıştırabilir; bu da veritabanındaki verilerin okunmasına, değiştirilmesine veya silinmesine ve hizmetin aksamasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

SQLSpecialColumns in psqlODBC splices the table and schema names it receives into its catalog query without escaping them, while the other catalog functions escape them. An application that passes an untrusted table or schema name to SQLSpecialColumns lets the caller execute arbitrary SQL with the privileges of the connection. Versions before psqlODBC 18.00.0006 are affected.

Üreticinin çözüm notu (İngilizce)

Upgrade to psqlODBC 18.00.0006 or later. SQLSpecialColumns passes the escaped names to its catalog queries, as the other catalog functions do.

Üreticinin geçici önlemi (İngilizce)

Validate table and schema names against the catalog, or reject names containing quote characters or backslashes, before calling SQLSpecialColumns.

Ne yapmalı?

  1. psqlODBC sürücüsünü 18.00.0006 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncelleme yapılana kadar, SQLSpecialColumns çağrısından önce tablo ve şema adlarını veritabanı kataloğuna göre doğrulayın. Üretici
  3. Güncelleme yapılana kadar, tırnak işareti veya ters eğik çizgi içeren tablo ve şema adlarını reddedin. Üretici

Ek önlemler

  • Uygulamanın veritabanına bağlandığı hesabın yetkilerini en aza indirin. Genel öneri
  • Güncelleme sonrasında sürücü sürümünü doğrulayın ve yetkisiz sorgu veya beklenmedik veritabanı hatalarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
PostgreSQL psqlODBC < 18.00.0006 18.00.0006

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.