CVE-2026-107314

PostgreSQL JDBC Sürücüsü olan pgjdbc'in 42.7.11 ile 42.7.13 arasındaki sürümleri, requireAuth bağlantı özelliği sürücünün bildiği altı kimlik doğrulama yönteminin tamamını hariç tuttuğunda (örneğin requireAuth=!password,!md5,!gss,!sspi,!scram-sha-256,!none) herhangi bir kısıtlama uygulamaz. Bu durumda sürücü, açık metin parola kimlik doğrulaması da dahil olmak üzere sunucunun talep ettiği her yöntemi kabul eder. requireAuth= veya tek bir virgül gibi içinde yöntem bulunmayan değerler de aynı şekilde etkilenir. Uygulama ile sunucusu arasında konumlanan bir saldırgan, açık metin parola kimlik doğrulaması talep ederek veritabanı parolasını ele geçirebilir. requireAuth=scram-sha-256 gibi pozitif bir liste ve requireAuth=!password,!md5 gibi kısmi bir hariç tutma işlemi doğru şekilde uygulanır. Özelliğin varsayılan bir değeri yoktur, bu nedenle bu ayarı yapmayan dağıtımlar etkilenmez. 42.7.14 sürümü sorunu giderir: böyle bir bağlantı SQLState 08004 ile reddedilir ve içinde yöntem bulunmayan bir değer geçersiz olarak kabul edilir.