pgEdge Postgres MCP Server 写确认绕过漏洞
热点事件持续更新
pgEdge Postgres MCP Server 写确认绕过漏洞
1 篇报道1 个报道来源2 小时前更新
先了解这件事
AI 综述
pgEdge 披露 CVE-2026-126199：其 Postgres MCP Server 1.1.0 之前的版本中，内置 CLI 和 Web 客户端在决定是否弹出写操作确认前，只按 query_database 语句的首个关键字判断类型。因此，SELECT INTO、以 WITH 开头的数据修改 CTE 和 EXPLAIN ANALYZE 写操作会被当作读取，在 allow_writes 连接上无需确认即可执行。 pgEdge 称，只读连接仍受 PostgreSQL 事务访问模式保护；不带 ANALYZE 的 EXPLAIN 和 SELECT FOR UPDATE 仍被归类为读取。该漏洞已在 1.1.0 修复。
AI 根据报道生成 · 2 小时前更新
最新进展11月13日 01:41
pgEdge Postgres MCP Server 漏洞 CVE-2026-126199：以读关键字开头的写操作可跳过确认提示报道时间线
沿着报道，了解事件的不同侧面。
11月13日
- cve.nowpgEdge Postgres MCP Server 漏洞 CVE-2026-126199：以读关键字开头的写操作可跳过确认提示
pgEdge Postgres MCP Server 在 1.1.0 之前的版本中，CLI 与 Web 客户端仅按首个关键字判断 query_database 语句类型，导致 SELECT INTO、以 WITH 开头的数据修改 CTE 和 EXPLAIN ANALYZE 写操作被当作读取，在 allow_writes 连接上无需确认即可执行。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。