orafce 4.16.9 修复文件路径穿越 RSS

orafce 为 PostgreSQL 提供 Oracle 兼容函数与工具包，其中 utl_file 允许 SQL 程序操作服务端文件。4.16.9 修复了这一包的路径穿越：旧逻辑信任已登记的目录，却没有在拼接文件名并规范化路径后再次检查实际位置，已获授权的用户可能访问目录范围以外、数据库操作系统账号能够打开的文件。新版对最终路径统一执行安全目录检查。该包默认关闭，已启用它的团队应核对版本、授权与目录配置，并在升级后回归文件访问流程。

发布于 2026-09-15T00:08:49.619541Z · Pavel Stěhule · orafce

安全 扩展

orafce 为 PostgreSQL 提供 Oracle 兼容函数与工具包，其中 utl_file 允许 SQL 程序操作服务端文件。4.16.9 修复了这一包的路径穿越：旧逻辑信任已登记的目录，却没有在拼接文件名并规范化路径后再次检查实际位置，已获授权的用户可能访问目录范围以外、数据库操作系统账号能够打开的文件。新版对最终路径统一执行安全目录检查。该包默认关闭，已启用它的团队应核对版本、授权与目录配置，并在升级后回归文件访问流程。

orafce 为 PostgreSQL 提供 Oracle 兼容函数与工具包，其中 utl_file 允许 SQL 程序操作服务端文件。4.16.9 修复了这一包的路径穿越：旧逻辑信任已登记的目录，却没有在拼接文件名并规范化路径后再次检查实际位置，已获授权的用户可能访问目录范围以外、数据库操作系统账号能够打开的文件。新版对最终路径统一执行安全目录检查。该包默认关闭，已启用它的团队应核对版本、授权与目录配置，并在升级后回归文件访问流程。

原始来源 ↗

来源记录

• pgweb.info_item · 004118ea7b978f65 · 2026-10-03T04:08:55.967155Z