媒體廣泛報導 PostgreSQL 的一個安全漏洞，已註冊為 CVE-2019-9193。 PostgreSQL 安全團隊想強調，這並非安全漏洞。 我們認為 CVE 條目是錯誤提交的。 我們已聯繫報告者以調查此問題。
COPY .. PROGRAM 功能明確指出，它只能由已被授予超級使用者權限或預設角色 pg_execute_server_program 的資料庫使用者執行。 依設計，此功能允許被授予超級使用者權限或 pg_execute_server_program 的使用者以 PostgreSQL 伺服器運行的作業系統使用者（通常為 "postgres"）身分執行操作。 CVE 中提到的預設角色 pg_read_server_files 和 pg_write_server_files 不授予資料庫使用者使用 COPY .. PROGRAM 的權限。
依設計，資料庫超級使用者和伺服器運行的作業系統使用者之間不存在安全邊界。 因此，依設計，PostgreSQL 伺服器不允許以作業系統超級使用者（例如 "root"）身分運行。 PostgreSQL 9.3 中新增的 COPY .. PROGRAM 功能沒有改變上述任何內容，而是新增了一個在現有安全邊界內的指令。
我們鼓勵所有 PostgreSQL 使用者遵循最佳實務，永遠不要授予遠端或以其他方式不受信任的使用者超級使用者存取權。 這是系統管理中遵循的標準安全操作程序，也適用於資料庫管理。
如果您對此有更多疑問，我們邀請您透過我們的 支援 資源之一聯繫社群成員