Вразливість у Postgres Model Context Protocol Server дозволяє віддалене виконання коду

Пастка списків заборонених слів. AWS Labs postgres-mcp-server намагався гарантувати режим тільки для читання через перевірку регулярними виразами у файлі mutable_sql_detector.py, відфільтровуючи команди на кшталт INSERT, UPDATE та DROP. Проте Postgres підтримує вираз COPY ... TO PROGRAM, який передає результат запиту у командний рядок ОС. Оскільки ця команда діє на рівні хоста, а не таблиць даних, звичайний режим транзакції BEGIN READ ONLY її не зупиняє. ### Ін'єкція команд через підкинуті промпти. Вразливість отримала ідентифікатор CVE-2026-87911 з оцінкою CVSS 9.6. Неавтентифікований зловмисник може впровадити шкідливий SQL у зовнішній контент, який обробляє агент. Якщо агент підключається як суперкористувач або член ролі pg_execute_server_program, на сервері виконується довільний шелл-код. Керовані сервіси RDS та Aurora блокують цю роль за замовчуванням, тому небезпека загрожує переважно self-managed інсталяціям Postgres. ### Аудит безпеки у чотири кроки. Надійний захист вимагає конфігурації ролей бази даних, а не нескінченного розширення regex-фільтрів. Спершу виконайте pg_has_role, щоб перевірити наявність прав pg_execute_server_program у вашого MCP-користувача. Далі оновіть postgres-mcp-server щонайменше до версії 1.1.7, де додано COPY_PROGRAM_PATTERN. Насамкінець надайте ролі виключно привілеї CONNECT, USAGE та SELECT на потрібні схеми.