任意程式碼執行

CVE-2026-6460 — PostgreSQL 型別混淆導致任意程式碼執行（CVSS 8.8；已在 18.7、17.12、16.16、15.20 和 14.25 中修復）：解析與對策

PostgreSQL 中存在型別混淆（CWE-843）。項目方稱，物件建立者可以主要透過 ALTER ... SET DATA TYPE，以執行資料庫的作業系統使用者身份執行任意程式碼。CVSS 為 8.8，需要低權限認證。14 至 18 版本受影響，已在 18.7、17.12、16.16、15.20 和 14.25（2026年11月12日）中修復。同一次更新共修復 52 個漏洞。未見利用報告，也沒有臨時解決辦法。PostgreSQL 14 收到最後一次更新，隨後進入生命週期終止。本站觀點：請應用小版本更新，如果您執行的是 14，請規劃遷移。