CVE-2026-50736

Yayıncıdan aboneye çoğaltılmış DDL gibi bant dışı komutları iletmek için kullanılan pglogical kuyruk mekanizması, mesaj yüklerini abonede apply worker'ın ayrıcalık düzeyinde, ki bu varsayılan kurulumlarda bir PostgreSQL süper kullanıcısına eşdeğerdir, çalıştırır. Yayıncı olarak hareket eden bir taraf, abonede süper kullanıcı olarak rastgele SQL'in çalıştırılmasına neden olan, pglogical kullanmasına izin verilen bir rolden tam süper kullanıcıya yetki yükselten ve paylaşılan dağıtımlarda kiracılar arasındaki izolasyonu bozan özel olarak hazırlanmış kuyruk mesajları gönderebilir. Sorunu istismar etmek için bir saldırganın bir aboneliği kontrol ettiği bir uç noktaya yönlendirebilmesi gerekir. Varsayılan kurulumlarda bu, normalde bir süper kullanıcıya ayrılmış ayrıcalıkları gerektirir, bu nedenle sorun en çok abonelik oluşturma yeteneğinin süper kullanıcı olmayan rollere devredildiği yönetilen dağıtımlarla ilgilidir.