Ejecución de código arbitrario por validación incorrecta de longitud de caracteres multibyte en PostgreSQL

Falta de validación de la longitud de caracteres multibyte en rutinas de manipulación de texto del motor. El fallo se clasifica en el NVD como CWE-129 (validación incorrecta relacionada con índices/límites). El vector es red, pero el atacante necesita privilegio bajo en el sentido CVSS: es decir, cuenta con capacidad de conectarse y ejecutar SQL como usuario de la BD (no es típicamente “sin autenticación” como en otros CVEs).

Actualizar instancias que sigan por debajo del umbral vulnerable.

https://nvd.nist.gov/vuln/detail/CVE-2026-2006