Vulnerabilidad en timescale (CVE-2026-29089)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-426 Ruta de búsqueda no confiable

Fecha de publicación:

06/03/2026

Última modificación:

18/03/2026

Descripción

TimescaleDB es una base de datos de series temporales para análisis en tiempo real de alto rendimiento empaquetada como una extensión de Postgres. Desde la versión 2.23.0 hasta la 2.25.1, PostgreSQL utiliza la configuración search_path para localizar objetos de base de datos no calificados (tablas, funciones, operadores). Si el search_path incluye esquemas escribibles por el usuario, un usuario malintencionado puede crear funciones en ese esquema que ocultan funciones integradas de postgres y serán llamadas en lugar de las funciones de postgres, lo que lleva a la ejecución de código arbitrario durante la actualización de la extensión. Este problema ha sido parcheado en la versión 2.25.2.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto