CVE-2026-120062

Les versions de psqlODBC antérieures à la 18.00.0006 sont concernées. Ce pilote permet aux applications de se connecter à des bases de données PostgreSQL en utilisant la norme ODBC. La faille se situe dans la fonction `SQLSpecialColumns`, qui ne parvient pas à échapper correctement les noms de tables et de schémas avant de les insérer dans une requête de base de données.

Un attaquant peut utiliser cette faille pour exécuter des commandes SQL arbitraires avec les mêmes permissions que la connexion à la base de données, permettant potentiellement de voler, modifier ou supprimer toutes les données auxquelles il peut accéder. Cela nécessite un accès réseau et un compte utilisateur avec des privilèges restreints. Comme l'attaquant doit influencer des paramètres spécifiques transmis à une fonction précise, la complexité de l'attaque est considérée comme élevée.