PostgreSQL 的 Windows 安裝程式會呼叫沒有完全限定路徑的系統提供的可執行檔案。安裝程式載入目錄或當前工作目錄中的可執行檔案會優先於預期的可執行檔案。有權向這些目錄之一新增檔案的攻擊者可以利用此漏洞，以安裝程式的管理員許可權執行任意程式碼。
PostgreSQL 專案感謝 Hou JingYi (@hjy79425575) 報告此問題。
| 受影響版本 | 已修復版本 | 修復釋出日期 |
|---|---|---|
| 12 | 12.3 | 2020 年 5 月 14 日 |
| 11 | 11.8 | 2020 年 5 月 14 日 |
| 10 | 10.13 | 2020 年 5 月 14 日 |
| 9.6 | 9.6.18 | 2020 年 5 月 14 日 |
| 9.5 | 9.5.22 | 2020 年 5 月 14 日 |
有關 PostgreSQL 版本資訊 的更多資訊，請訪問 版本資訊頁面。
| 總體得分 | 6.7 |
|---|---|
| 元件 | 打包 |
| 向量 | AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
如果您希望報告 PostgreSQL 中的新安全漏洞，請傳送電子郵件至 security@postgresql.org。
如需報告非安全相關錯誤，請參閱 報告錯誤 頁面。