CVE-2026-16239

PostgreSQL type confusion in cursor CLOSE + DECLARE executes arbitrary code

Description

Type confusion in PostgreSQL "portal"/cursor lifecycle allows a user to execute arbitrary code as the operating system user running the database, via re-creation of a cursor or other portal with different types. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.

Scores

Faiblesses (CWE)

• CWE-843

Références européennes

• ENISA EUVD · EUVD-2026-57849
• GCVE · GCVE-0-2026-16239

Avis du CERT-FR

• CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2026-AVI-1336 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2026-AVI-1024 — Multiples vulnérabilités dans PostgreSQL · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 14.0 < 14.24
• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 15.0 < 15.19
• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 16.0 < 16.15
• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 17.0 < 17.11
• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≥ 18.0 < 18.5

Produits affectés

Références

• https://www.postgresql.org/support/security/CVE-2026-16239/

Sources