CVE-2026-15741

PostgreSQL expression deparse allows SQL injection via EXTRACT argument

Description

SQL injection in PostgreSQL EXTRACT() deparse allows an object owner to execute arbitrary SQL as a superuser via a hostile object definition. Attacks affect expression deparse consumers broadly, including pg_dump, psql commands like \sf, and any similar usage in non-core tools. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.

Scores

Faiblesses (CWE)

• CWE-89

Références européennes

• ENISA EUVD · EUVD-2026-57846
• GCVE · GCVE-0-2026-15741

Avis du CERT-FR

• CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2026-AVI-1345 — Multiples vulnérabilités dans les produits StormShield · cert.ssi.gouv.fr
• CERTFR-2026-AVI-1336 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2026-AVI-1024 — Multiples vulnérabilités dans PostgreSQL · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 14.0 < 14.24
• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 15.0 < 15.19
• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 16.0 < 16.15
• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 17.0 < 17.11
• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 18.0 < 18.5

Produits affectés

Références

• https://www.postgresql.org/support/security/CVE-2026-15741/

Sources