FICHE CVE

CVE-2026-6478

Publiée le 2026-05-14 · Dernière modification le 2026-08-25

🇫🇷 EN BREF

Les serveurs PostgreSQL utilisant des mots de passe hachés en MD5 (méthode héritée) sont vulnérables à une attaque temporelle permettant de révéler les identifiants des utilisateurs. Un attaquant non authentifié ayant un accès réseau à la base de données peut récupérer ces mots de passe en mesurant d'infimes différences dans la manière dont le système compare les hachages. Cela n'affecte pas le réglage par défaut moderne scram-sha-256, mais représente un risque pour les comptes plus anciens ou les bases de données mises à jour depuis la version 13 ou antérieure.

CVSS 3.16.5 MOYENNE

Type de faiblesse

CWE-385

Publiée2026-05-14

Dernière modification2026-08-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Covert timing channel in comparison of MD5-hashed password in PostgreSQL authentication allows an attacker to recover user credentials sufficient to authenticate. This does not affect scram-sha-256 passwords, the default in all supported releases. However, current databases may have MD5-hashed passwords originating in upgrades from PostgreSQL 13 or earlier. Versions before PostgreSQL 18.4, 17.10, 16.14, 15.18, and 14.23 are affected.