CVE-2026-107314

pgjdbc, il driver JDBC di PostgreSQL, nelle versioni dalla 42.7.11 alla 42.7.13, non applicava restrizioni quando la proprietà requireAuth escludeva tutti e sei i metodi di autenticazione noti al driver, ad esempio requireAuth=!password,!md5,!gss,!sspi,!scram-sha-256,!none. Il driver accettava quindi qualsiasi metodo richiesto dal server, inclusa l'autenticazione con password in chiaro. Un valore senza un metodo specificato, come requireAuth=, (una singola virgola), era soggetto allo stesso comportamento. Un attaccante posizionato tra l'applicazione e il server poteva richiedere l'autenticazione con password in chiaro e ricevere la password del database. Una whitelist positiva, come requireAuth=scram-sha-256, e una esclusione parziale, come requireAuth=!password,!md5, vengono applicate correttamente. La proprietà non ha un valore di default, quindi una configurazione che non la imposta non è soggetta a questa vulnerabilità. La versione 42.7.14 risolve il problema: in tal caso, la connessione viene rifiutata con SQLState 08004, e un valore senza un metodo specificato viene respinto come invalido.