- Yama var
- Son 7 gün
- CWE-22
CVE-2026-63120
PGHoard'da restore.py dosyasındaki eksik yol geçişi düzeltmesi keyfi dosya yazmaya izin veriyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
pghoard, PostgreSQL için bir yedekleme servisi ve geri yükleme araçlarıdır; yedek verilerini bulut nesne depolarında saklar. 2.7.2 sürümünden önce, pghoard'daki eksik yol geçişi (path traversal) düzeltmesi, yedek nesne depolamasına (S3, GCS veya Azure gibi) yazma erişimi olan bir saldırganın, belirlenen PostgreSQL veri dizini (pgdata) dışında keyfi dosya yazma ve dizin oluşturma işlemleri gerçekleştirmesine olanak tanır. Bir veritabanı yöneticisi geri yükleme işlemini (pghoard_restore get-basebackup aracılığıyla) çalıştırdığında, ../../../../etc/cron.d/backdoor gibi yol geçişi dizileri içeren kötü amaçlı hazırlanmış bir delta yedek manifesti, keyfi yükleri ana sistemde yazacaktır. Bu sorun 2.7.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
pghoard is a PostgreSQL backup daemon and restore tooling that stores backup data in cloud object stores. Prior to version 2.7.2, an incomplete path traversal fix in pghoard allows an attacker with write access to the backup object storage (such as S3, GCS, or Azure) to execute arbitrary file writes and directory creation outside the designated PostgreSQL data directory (pgdata). When a database administrator executes a restore operation (via pghoard_restore get-basebackup), a maliciously crafted delta backup manifest with path traversal sequences (e.g., ../../../../etc/cron.d/backdoor) will write arbitrary payloads to the host system. This issue has been patched in version 2.7.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Aiven-Open pghoard | < 2.7.2 | 2.7.2 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.