CVE-2026-107314
Publiée le 2026-10-07 · Dernière modification le 2026-10-08
Les applications Java utilisant le pilote JDBC PostgreSQL (versions 42.7.11 à 42.7.13) sont concernées si elles utilisent une propriété de connexion `requireAuth` spécifique et mal configurée. Un attaquant réseau positionné entre l'application et la base de données peut tromper le pilote pour l'amener à utiliser une authentification en texte clair afin de voler le mot de passe de la base de données. L'exécution de cette attaque nécessite un effort technique important, car l'attaquant doit être capable d'intercepter et de manipuler le trafic réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
pgjdbc, the PostgreSQL JDBC Driver, versions 42.7.11 through 42.7.13 enforce no restriction when the requireAuth connection property excludes all six authentication methods the driver knows, for example requireAuth=!password,!md5,!gss,!sspi,!scram-sha-256,!none. The driver then accepts any method the server asks for, including cleartext password authentication. A value without a method in it, such as requireAuth=, (a single comma), is affected the same way. An attacker positioned between the application and its server can ask for cleartext password authentication and receive the database password. A positive list such as requireAuth=scram-sha-256, and a partial exclusion such as requireAuth=!password,!md5, are enforced correctly. The property has no default value, so a deployment that does not set it is not affected. 42.7.14 fixes the problem: such a connection is refused with SQLState 08004, and a value without a method in it is rejected as invalid.