CVE-2026-69128
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Chartbrew to aplikacja internetowa typu open source, która może łączyć się bezpośrednio z bazami danych i interfejsami API oraz wykorzystywać dane do tworzenia wykresów. W wersji 5.2.2 na liście blokowania AI SQL pominięto funkcje równorzędnego systemu plików PostgreSQL i nie udało się dopasować form identyfikatorów zabronionych funkcji w cudzysłowie. Podatną powierzchnią jest lista bloków do sprawdzania poprawności SQL PostgreSQL narzędzia do wysyłania zapytań AI. Właściciel lub administrator zespołu korzysta z połączenia PostgreSQL z obsługą sztucznej inteligencji, którego rola bazy danych może wywoływać funkcje plikowe po stronie serwera i powoduje, że wygenerowany kod SQL używa nienotowanej funkcji rodzeństwa lub funkcji odmowy w cudzysłowie. Niewymienione na liście funkcje rodzeństwa pozostają dozwolone, a identyfikatory funkcji w cudzysłowie omijają wyrażenia regularne listy zabronionych i docierają do PostgreSQL. Funkcje AI muszą być włączone, a użytkownik musi mieć podwyższone uprawnienia Chartbrew. Superużytkownik PostgreSQL lub rola pg_read_server_files może rozpoznać bezwzględne ścieżki do plików czytelnych dla użytkownika PostgreSQL OS, podczas gdy osoba niebędąca superużytkownikiem jest ograniczona do zakresu względnego PGDATA podanego w źródle. Ta luka została naprawiona w wersji 5.2.3.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org