CVE-2026-41889: pgx: injeção de SQL por confusão de placeholders com literais entre aspas dólar
O pgx, driver e conjunto de ferramentas PostgreSQL para Go, é afetado por uma fraqueza de injeção de SQL quando o protocolo simples, que não é o padrão, é utilizado. O problema ocorre quando um literal de string com aspas dólar contém texto lido como placeholder cujo valor pode ser controlado por um atacante. O registro indica que o problema foi corrigido na versão 5.9.2.
Visão geral
O pgx é um driver e conjunto de ferramentas para PostgreSQL em Go. Este registro descreve uma fraqueza de injeção de SQL (CWE-89) que surge quando o protocolo simples, que não é o padrão, é usado e um literal de string com aspas dólar em uma consulta contém texto interpretado como placeholder cujo valor pode ser controlado por um atacante.
Impacto
- O registro classifica o problema como injeção de SQL, o que pode permitir que um atacante altere a estrutura pretendida de uma consulta ao banco de dados.
- A NVD informa pontuação base de 9.8 (crítica). A GitHub, como CNA, informa pontuação menor, de 2.3.
- A exposição de dados ou o impacto na integridade em um ambiente específico é desconhecido com base no registro.
Produtos e versões afetados
- Produto: pgx (Jackc Pgx).
- Afetado: antes da versão 5.9.2.
- Corrigido: versão 5.9.2, conforme indicado no registro.
Status de exploração
- O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA.
- Não há exploração confirmada nas fontes consultadas para esta análise.
- O EPSS informa probabilidade de 0.00488 e percentil de 0.41138.
Correção e mitigação
- Atualize o pgx para a versão 5.9.2 ou superior, identificada no registro como corrigida.
- Consulte o aviso do fornecedor para as orientações de mitigação.
- Confirme que o commit de correção está incluído no build implantado em produção.
- Como prática defensiva geral, mantenha entradas não confiáveis fora do texto SQL e revise como as consultas são montadas em serviços Go.
Orientações de detecção
- Faça o inventário de aplicações Go e dependências que importam o pgx e registre as versões em uso.
- Revise os trechos de código que usam o protocolo simples ou montam texto SQL com literais de aspas dólar.
- Monitore os logs do banco de dados em busca de erros ou estruturas de consulta inesperadas vindas de contas de aplicação, como sinal geral.
Limitações das informações disponíveis
- O registro não descreve em detalhes as condições de um ataque, e esta análise não as fornece.
- O registro não informa se as configurações padrão são afetadas.
- Não se sabe se outros produtos ou distribuições que incluem o pgx são afetados.
- As duas fontes de CVSS divergem, e o registro não explica a diferença.
Perguntas frequentes
Quais versões do pgx são afetadas pelo CVE-2026-41889?
O registro indica que as versões do pgx anteriores à 5.9.2 são afetadas. A versão 5.9.2 é identificada como a versão corrigida.
O problema afeta todos os usuários do pgx?
Não necessariamente. O registro diz que o problema exige o protocolo simples, que não é o padrão, um literal de string com aspas dólar na consulta e um valor de placeholder controlável por atacante. Não está informado se as configurações padrão são afetadas.
Há exploração conhecida desta vulnerabilidade?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas para esta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.