一、 漏洞 CVE-2025-8714 基础信息
漏洞信息
                                        # PostgreSQL pg_dump psql客户端任意代码执行漏洞

## 概述

PostgreSQL 的 `pg_dump` 工�具存在**不受信数据包含**漏洞，攻击者可利用该漏洞在恢复阶段注入并执行任意代码。

## 影响版本

- PostgreSQL 版本：17.6、16.10、15.14、14.19、13.22 之前版本

## 漏洞细节

- **漏洞位置**：`pg_dump`、`pg_dumpall`、`pg_restore`（在生成 plain-format 转储时）
- **攻击方式**：恶意超级用户可通过在转储中注入**psql 元命令（meta-commands）**，引发在客户端系统账户恢复转储时执行任意代码。

## 漏洞影响

- **攻击权限**：攻击者需为源数据库的超级用户。
- **执行权限**：代码将在执行 `psql` 恢复操作的客户端操作系统用户权限下运行。
- **危害程度**：可能导致**远程代码执行（RCE）**，获取目标系统控制权。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
PostgreSQL pg_dump lets superuser of origin server execute arbitrary code in psql client
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Untrusted data inclusion in pg_dump in PostgreSQL allows a malicious superuser of the origin server to inject arbitrary code for restore-time execution as the client operating system account running psql to restore the dump, via psql meta-commands. pg_dumpall is also affected. pg_restore is affected when used to generate a plain-format dump. This is similar to MySQL CVE-2024-21096. Versions before PostgreSQL 17.6, 16.10, 15.14, 14.19, and 13.22 are affected.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
从非可信控制范围包含功能例程
来源：美国国家漏洞数据库 NVD
漏洞标题
PostgreSQL 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
PostgreSQL是PostgreSQL组织的一套自由的对象关系型数据库管理系统。该系统支持大部分SQL标准并且提供了许多其他特性，例如外键、触发器、视图等。 PostgreSQL 17.6版本、16.10版本、15.14版本、14.19版本和13.22之前版本存在安全漏洞，该漏洞源于pg_dump中不受信任数据包含可能允许恢复时执行任意代码。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-8714 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-8714 的情报信息
四、漏洞 CVE-2025-8714 的评论

暂无评论

发表评论