¿Qué es la vulnerabilidad CVE-2026-120065 en psqlODBC?
CVE-2026-120065 es una vulnerabilidad de ciberseguridad clasificada con una puntuación CVSS de 7.1 que afecta al conector psqlODBC de PostgreSQL. Para un cursor modificable sobre una tabla sin OIDs que cuenta con una columna int4 de incremento automático, el controlador utiliza dicha columna para identificar las filas de manera precisa.
El problema radica en que el controlador coloca el nombre de la columna, tal como lo reporta el servidor, entre comillas dobles en las consultas keyset y en las cláusulas WHERE de las sentencias posicionadas SELECT, UPDATE y DELETE, sin duplicar ninguna comilla doble dentro del nombre. Esto provoca que un nombre de columna que incluya una comilla doble altere la instrucción SQL ejecutada con los privilegios de la aplicación, un riesgo equiparable a los problemas de escalada local analizados en otros entornos.
¿A quién afecta este fallo en el conector de PostgreSQL?
Cualquier usuario de la base de datos que tenga la capacidad de crear una tabla que la aplicación lea mediante un cursor modificable puede verse afectado por este fallo. Asimismo, un servidor no confiable bajo la configuración SSL actual también puede explotar esta condición.
La manipulación del nombre de la columna cambia qué filas afectan las operaciones de actualización o borrado posicionado, comprometiendo la integridad de los datos. Esta situación comparte similitudes operativas con los fallos de control de permisos y otros vectores en componentes de software críticos gestionados en la infraestructura.
¿Cómo me protejo contra esta vulnerabilidad?
La mitigación principal para este problema de seguridad requiere la actualización inmediata del controlador ODBC afectado, además de mantener prácticas estrictas de configuración y control de accesos. Los detalles técnicos oficiales se encuentran documentados en [[github.com|https://github.com/postgresql-interfaces/psqlodbc/security/advisories/GHSA-9cg8-r57h-h6jj]].
Siga estos pasos de mitigación recomendados para proteger sus entornos conectados a PostgreSQL:
- Compruebe la versión instalada de psqlODBC en sus sistemas para verificar si es anterior a 18.00.0006.
- Actualice el controlador psqlODBC descargando la versión 18.00.0006 o superior desde los canales oficiales.
- Revise y restringue los permisos de los usuarios para crear tablas leídas por cursores modificables.
- Asegúrese de que las configuraciones de cifrado y certificados SSL para las conexiones al servidor sean estrictas y confiables.