CVE-2024-0985 – Später Privilegienabbau bei REFRESH MATERIALIZED VIEW in PostgreSQL

Beschreibung

In PostgreSQL erlaubt laut NVD ein zu später Privilegienabbau bei REFRESH MATERIALIZED VIEW CONCURRENTLY einem Objekt-Ersteller, beliebige SQL-Funktionen mit den Rechten des ausführenden Nutzers auszuführen. Der Angriff setzt voraus, dass ein Opfer (ein Superuser oder Mitglied einer Rolle des Angreifers) dazu gebracht wird, REFRESH MATERIALIZED VIEW CONCURRENTLY auf der Materialized View des Angreifers auszuführen. Betroffen sind Versionen vor 16.2, 15.6, 14.11, 13.14 und 12.18. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der fehlerbereinigten Versionen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in PostgreSQL

• ProxySQL: MySQL-Frontend akzeptiert gefälschte PROXY-Protokoll-Frames CVE-2026-48772
• PostgreSQL JDBC-Treiber (pgjdbc): SQL-Injection bei PreferQueryMode=SIMPLE CVE-2024-1597
• ProxySQL: Heap-Speicherkorruption vor der Authentifizierung im MySQL- und PostgreSQL-Protokoll CVE-2026-48773
• go-base – Hartkodiertes JWT-Signing-Secret ermöglicht Authentifizierungsumgehung CVE-2026-48031
• VPS.org Supabase-Template: PostgreSQL mit Standardpasswort auf allen Netzwerkschnittstellen erreichbar CVE-2026-16503
• PostgreSQL: Integer Wraparound führt zu Out-of-Bounds-Schreiben und Codeausführung CVE-2026-6473