cve.now·· 3 小时前推荐指数36
pgEdge Postgres MCP Server 漏洞 CVE-2026-126199：以读关键字开头的写操作可跳过确认提示
CVE-2026-126199: pgEdge Postgres MCP Server write confirmation skipped for writes that begin with a reading keyword
AI 导读
pgEdge Postgres MCP Server 在 1.1.0 之前的版本中，CLI 与 Web 客户端仅按首个关键字判断 query_database 语句类型，导致 SELECT INTO、以 WITH 开头的数据修改 CTE 和 EXPLAIN ANALYZE 写操作被当作读取，在 allow_writes 连接上无需确认即可执行。
来源：cve.now · cve.now