CVE-2026-61819

pg_partman zaman və ya ID əsasında bölümlənmiş cədvəlləri idarə edən bir PostgreSQL genişlənməsidir. 5.5.0 versiyasından əvvəl, pg_jobmon quraşdırıldıqda və part_config.jobmon true olduqda, çox sayda pg_partman funksiyalarındakı istisna idarəediciləri p_parent_table dəyişənini pg_jobmon.add_job() funksiyasını çağırmaq üçün istifadə olunan SQL sətir literalının daxilinə olduğu kimi yerləşdirir. partman_user tərəfindən yaradılan və tək dırnaq işarəsi ehtiva edən valideyn cədvəl adı, təsirə məruz qalan istisna yolu işə düşdükdə literalı sonlandıraraq SQL inyeksiyasına şərait yarada bilər. Əgər pg_partman_bgw həmin yola çatarsa, inyeksiya edilmiş SQL kodu pg_partman_bgw.role imtiyazları ilə icra olunur ki, bu da standart olaraq PostgreSQL superistifadəçisi səlahiyyətlərinə malikdir; bu isə bütün verilənlər bazasının kompromisə uğramasına və PostgreSQL servis hesabı vasitəsilə əməliyyat sistemi əmrlərinin icrasına imkan verir. Daimi part_config sətri sonrakı texniki xidmət dövrlərində bu imtiyazların yüksəldilməsini yenidən tetikleyə bilər. Bu problem 5.5.0 versiyasında düzəldilmişdir.