PostgreSQL 18.x < 18.6 多种漏洞
high Nessus 插件 ID 342124
语言：
简介
远程数据库服务器受到多个漏洞的影响。描述
远程主机上安装的 PostgreSQL 版本为低于 18.6的 18。因此，该数据库可能受到多个漏洞的影响：- PostgreSQL pg_stat_statements 中的堆缓冲区溢出允许查询作者通过包含数组常量的构建查询，以运行数据库的操作系统用户的身份执行任意代码。在主要版本 18 内，PostgreSQL 18.6 之前的次要版本会受到影响。PostgreSQL 18 之前的版本不受影响。（CVE-2026-14676）
- PostgreSQL pg_restore_attribute_stats（） 中的类型混淆允许对象创建者通过合并范围值和多范围值，以运行数据库的操作系统用户的身份执行任意代码。在主要版本 18 内，PostgreSQL 18.6 之前的次要版本会受到影响。PostgreSQL 18 之前的版本不受影响。（CVE-2026-16238）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
请升级到 PostgreSQL 18.6 或更高版本。另见
插件详情
严重性: High
ID: 342124
文件名: postgresql_20260813_4.nasl
版本: 1.2
类型: Combined
代理: windows, macosx, unix
系列: Databases
发布时间: 2026/9/1
最近更新时间: 2026/9/2
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.9
百分位: 58.15
CVSS v2
风险因素: High
基本分数: 9
时间分数: 6.7
矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-16238
CVSS v3
风险因素: High
基本分数: 8.8
时间分数: 7.7
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:postgresql:postgresql
易利用性: No known exploits are available
补丁发布日期: 2026/8/13
漏洞发布日期: 2026/8/13
参考资料信息
CVE: CVE-2026-14676, CVE-2026-16238
IAVB: 2026-B-0238