CVE-2024-27304criticalCWE-190CWE-89

CVE-2024-27304: falha crítica em jackc pgx

pgx SQL Injection via Protocol Message Size Overflow

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar pgx+ Monitorar github.com/jackc/pgx/v5

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

48Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 9.8epss 1.1%
da publicação à arma585 dias
Publicada no NVD6 de mar.
1ª PoC+585d
pgx is a PostgreSQL driver and toolkit for Go. SQL injection can occur if an attacker can cause a single query or bind message to exceed 4 GB in size. An integer overflow in the calculated message size can cause the one large message to be sent as multiple messages under the attacker's control. The problem is resolved in v4.18.2 and v5.5.4. As a workaround, reject user input large enough to cause a single query or bind message to exceed 4 GB in size.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
jackc · pgx
PoCs públicas encontradas — 1
githubgithub.com/roaris/CVE-2024-27304-PoC★ 1
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — jackc pgx

No mesmo produto, das mais perigosas para as menos.

CVE-2024-27289HIGHpgx SQL Injection via Line Comment CreationEPSS 0.8%CVE-2026-41889LOWpgx: SQL Injection via placeholder confusion with dollar quoted string literalsEPSS 0.4%