【缝隙公告】PostgreSQL SQL注入缝隙(CVE-2025-1094)

颁布功夫 2025-02-21

一、、缝隙概述


缝隙名称

PostgreSQL SQL注入缝隙

CVE   ID

CVE-2025-1094

缝隙类型

SQL注入

发现功夫

2025-02-21

缝隙评分

8.1

缝隙等级

高危

攻击向量

网络

所需权限

无

利用难度

高

用户交互

无

PoC/EXP

已公开

在野利用

未发现


PostgreSQL是一个开源、、壮大的关系型数据库治理系统，支持SQL尺度及扩大，宽泛利用于企业级利用。� ！！Ｋ弑父呖康米⌒�、、可扩大性、、数据齐全性和并发节制职能，支持多种编程说话和扩大机制。� ！！ostgreSQL的特点蕴含ACID事务支持、、复杂查问优化、、JSON数据类型处置、、全文搜索等。� ！！Ｋ嫌糜诖有⌒屠玫酱笮褪莶挚獾母骼喑【�。� ！！�


2025年2月21日，OG东方厅集团VSRC监测到PostgreSQL颁布了关于CVE-2025-1094缝隙的安全布告。� ！！２几嬷赋�，PostgreSQL的libpq函数（如PQescapeLiteral()、、PQescapeIdentifier()、、PQescapeString()和PQescapeStringConn()）在某些使用模式下未能正确处置引号语法，可能导致SQL注入缝隙。� ！！９セ髡吣芄煌ü囟褚馐淙�，利用这些函数的返回了局在PostgreSQL交互终端psql中执行恶意SQL语句。� ！！４送�，PostgreSQL号令行工具在特定字符编码环境下（如client_encoding为BIG5、、server_encoding为EUC_TW或MULE_INTERNAL时）也可能受到类似SQL注入攻击的威胁。� ！！８梅煜兜腃VSS评分为8.1分，缝隙等级为高危。� ！！�


二、、影响领域


17 <= PostgreSQL < 17.3
16 <= PostgreSQL < 16.7
15 <= PostgreSQL < 15.11
14 <= PostgreSQL < 14.16
13 <= PostgreSQL < 13.19


三、、安全措施


3.1 升级版本


官方已于2025年2月13日颁布了修复补丁，建议受影响版本的用户尽快进行升级。� ！！＞咛逍薷窗姹救缦�：：

PostgreSQL 17已在17.3版本中修复该缝隙
PostgreSQL 16已在16.7版本中修复该缝隙
PostgreSQL 15已在15.11版本中修复该缝隙
PostgreSQL 14已在14.16版本中修复该缝隙
PostgreSQL 13已在13.19版本中修复该缝隙


下载链接：：

https://github.com/postgres/postgres/tags/


3.2 一时措施


? 使用参数化查问或预编译语句，预防直接拼接用户输入。� ！！�
? 严格验证并过滤用户输入，预防恶意字符。� ！！�
? 限度数据库用户权限，确保最低必要权限。� ！！�


3.4 参考链接


https://www.postgresql.org/support/security/CVE-2025-1094/
https://www.postgresql.org/support/security/CVE-2025-1094
https://nvd.nist.gov/vuln/detail/CVE-2025-1094