Important: libpq security update

Important: libpq security update

Use of inherently dangerous function PQfn(..., result_is_int=0, ...) in PostgreSQL libpq lo_export(), lo_read(), lo_lseek64(), and lo_tell64() functions allows the server superuser to overwrite a client stack buffer with an arbitrarily-large response. Like gets(), PQfn(..., result_is_int=0, ...) stores arbitrary-length, server-determined data into a buffer of unspecified size. Because both the \lo_export command in psql and pg_dump call lo_read(), the server superuser can overwrite pg_dump or psql stack memory. Versions before PostgreSQL 18.4, 17.10, 16.14, 15.18, and 14.23 are affected.

ELSA-2026-44391: libpq security update (IMPORTANT)

ELSA-2026-44308: libpq security update (IMPORTANT)

Уязвимость функции lo_export(), lo_read(), lo_lseek64() и lo_tell64() клиентской библиотеке libpq системы управления базами данных PostgreSQL, позволяющая нарушителю перезаписать память стека pg_dump или psql

Important: postgresql:13 security update

Covert timing channel in comparison of MD5-hashed password in PostgreSQL authentication allows an attacker to recover user credentials sufficient to authenticate. This does not affect scram-sha-256 passwords, the default in all supported releases. However, current databases may have MD5-hashed passwords originating in upgrades from PostgreSQL 13 or earlier. Versions before PostgreSQL 18.4, 17.10, 16.14, 15.18, and 14.23 are affected.

ELSA-2026-28208: postgresql:13 security update (IMPORTANT)

Уязвимость системы управления базами данных PostgreSQL, связанная с раскрытием информации на основании временных расхождений, позволяющая нарушителю раскрыть защищаемую информацию

Уязвимость postgresql16

Уязвимость postgresql18-1c

Уязвимость postgresql18

Уязвимость postgresql17-1c

Уязвимость postgresql17

Уязвимость postgresql15-1c

Уязвимость postgresql15

Уязвимость postgresql-1c

Уязвимость postgresql14

Уязвимость postgresql16