快速链接

CVE-2026-120153

PostgreSQL 扩展脚本的文本替换可通过对象名造成 SQL 注入

PostgreSQL 扩展脚本的文本替换存在 SQL 注入漏洞。持有数据库级 CREATE 权限的攻击者可通过含换行符或其他特殊子串的 schema 名或所有者名，以引导超级用户身份执行任意代码。该问题类似于 CVE-2023-39417，但要求使用脚本中存在易受攻击模式的非内置扩展。PostgreSQL 18.7、17.12、16.16、15.20 和 14.25 之前的版本受影响。

版本信息

影响版本	修复于	修复发布
18	18.7	2026年11月12日
17	17.12	2026年11月12日
16	16.16	2026年11月12日
15	15.20	2026年11月12日
14	14.25	2026年11月12日

有关 PostgreSQL 版本策略的更多信息，请访问版本策略页面。

CVSS 3.0

总分	7.2
组件	core server
向量	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

报告安全漏洞

如果您希望报告 PostgreSQL 中的新安全漏洞，请发送电子邮件至 security@postgresql.org。

如需报告非安全性 Bug，请参阅报告 Bug 页面。