BDU:2026-01727

Опубликовано: 11 фев. 2026

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость функции оценки избирательности расширения Intarray системы управления базами данных PostgreSQL связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в контексте текущего пользователя

Вендор

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «ИВК»

АО «СберТех»

PostgreSQL Global Development Group

Postgres Professional

Наименование ПО

РЕД ОС

Astra Linux Special Edition

Альт 8 СП

АЛЬТ СП 10

Platform V SberLinux OS Server

PostgreSQL

Postgres Pro Certified

СУБД «Platform V Pangolin DB»

Версия ПО

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

- (АЛЬТ СП 10)

9 (Platform V SberLinux OS Server)

до 18.2 (PostgreSQL)

до 17.8 (PostgreSQL)

до 16.12 (PostgreSQL)

до 15.16 (PostgreSQL)

до 14.21 (PostgreSQL)

до 18.2 (Postgres Pro Certified)

до 17.8 (Postgres Pro Certified)

до 16.12 (Postgres Pro Certified)

до 15.16 (Postgres Pro Certified)

до 14.21 (Postgres Pro Certified)

до 6.4.2-cve5 (СУБД «Platform V Pangolin DB»)

Тип ПО

Операционная система

СУБД

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

АО «ИВК» АЛЬТ СП 10 -

АО «СберТех» Platform V SberLinux OS Server 9

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

Для PostgreSQL:

https://www.postgresql.org/support/security/CVE-2026-2004/

Для Postgres Pro Certified:

https://postgrespro.ru/products/postgrespro/certified

Компенсирующие меры:

- ограничить круг лиц с правами на создание сложных SQL-объектов (CREATE FUNCTION, CREATE OPERATOR);

- отключение/удаление не используемых учётных записей пользователей;

- использовать мониторинг журналов аудита на предмет подозрительной активности.

Для Platform V Pangolin DB:

Обновление до версии 6.4.2-cve5

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-2004
CVE

EPSS

Процентиль: 15%

0.00048

Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2026-2004

CVSS3: 8.8

ubuntu

около 1 месяца назад

Missing validation of type of input in PostgreSQL intarray extension selectivity estimator function allows an object creator to execute arbitrary code as the operating system user running the database. Versions before PostgreSQL 18.2, 17.8, 16.12, 15.16, and 14.21 are affected.

CVE-2026-2004

CVSS3: 8.8

redhat

около 1 месяца назад

CVE-2026-2004

CVSS3: 8.8

nvd

около 1 месяца назад

CVE-2026-2004

CVSS3: 8.8

debian

около 1 месяца назад

Missing validation of type of input in PostgreSQL intarray extension s ...

GHSA-qw3h-8vxv-jf6c

CVSS3: 8.8

github

около 1 месяца назад

EPSS

Процентиль: 15%

0.00048

Низкий

8.8 High

CVSS3

9 Critical

CVSS2