快速链接

CVE-2026-116303

PostgreSQL 外键和 JSON 转换可绕过类型转换函数的 EXECUTE 权限

PostgreSQL 类型转换缺少授权检查，数据库用户可通过外键、to_json() 等途径调用自己没有 EXECUTE 权限的类型转换函数。成功攻击需要在各数据库中寻找受访问限制的转换函数，并识别具体实现可能造成的机密性影响。实际中，受限转换函数以及会造成此类机密性影响的转换函数都很少见，甚至可能不存在。PostgreSQL 18.7、17.12、16.16、15.20 和 14.25 之前的版本受影响。

版本信息

影响版本	修复于	修复发布
18	18.7	2026年11月12日
17	17.12	2026年11月12日
16	16.16	2026年11月12日
15	15.20	2026年11月12日
14	14.25	2026年11月12日

有关 PostgreSQL 版本策略的更多信息，请访问版本策略页面。

CVSS 3.0

总分	3.1
组件	core server
向量	AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

报告安全漏洞

如果您希望报告 PostgreSQL 中的新安全漏洞，请发送电子邮件至 security@postgresql.org。

如需报告非安全性 Bug，请参阅报告 Bug 页面。