Alertas prioritarias y resúmenes de Radar por correo.
Comprobando disponibilidad…
Aviso de seguridad
An authenticated database user can exploit an untrusted schema in another user’s search path when that user connects through an affected wrapper. AWS disclosed the issue in November; the correction was released on July 29.
Quiénes deben revisar: Go application teams connecting to Aurora PostgreSQL through AWS Advanced Go Wrapper.
Acción recomendadaCorrección disponible
Update awssql/v2 to 2.0.3 or later and review companion module versions. Until corrected, restrict schema CREATE privileges to trusted database users.
The wrapper’s Aurora PostgreSQL detection can resolve a function through an untrusted schema. The attacker already needs database access and the ability to create objects on a different user’s search path. When that user connects through the affected wrapper, the attacker may obtain that user’s database privileges, potentially including rds_superuser membership.
The maintainer describes this as an incomplete earlier correction. The relevant fix is the July 29 wrapper release, not an unverified future service patch. The November 12 bulletin asks customers to update forks and derivative code as well.
This is not a claim that Aurora customers were compromised or that an unauthenticated Internet user can exploit every database.
Proveedor / autor
AWS
Identificadores de vulnerabilidad
CVE-2026-126793
Acceso necesario
Requiere acceso a una cuenta
Divulgado
12 nov 2026
Última revisión de evidencia
14 nov 2026 UTC
¿Qué sistemas y versiones están afectados?
Producto
Afectado
Versión corregida / acción
awssql/v2 and Aurora PostgreSQL dialect detection
2.0.0 through 2.0.2; wrapper releases from April 6 through before July 29, 2026. Requires object creation in a schema on another connecting user’s search_path.
2.0.3 / wrapper release 2026-07-29
Companion modules
Check each installed module against the package ranges in the maintainer advisory.
auth-helpers, federated-auth, iam, mysql-driver, okta and pgx-driver: 1.1.3aws-secrets-manager: 1.1.4; custom-endpoint: 1.0.6otlp and xray: 1.0.9
Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.
¿Qué se sabe de la explotación?
Ataques observados
Sin ataques reportados
Fundamento de la prioridad
AWS confirms a correction and an authenticated database prerequisite. The reviewed notices do not report attacks; November disclosure does not mean a new November compromise.
¿Qué implica para los entornos de IA?
Review the database roles used by automation and who can create objects on their search paths.
Added verified scope, correction and evidence limits from primary sources.
Acciones de respuesta
Prepará tu respuesta
0 de 4 acciones registradas como completadas
Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.
Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.
Compará la versión en ejecución y la configuración con las indicaciones del proveedor.
Producto
Afectado
Versión corregida / acción
awssql/v2 and Aurora PostgreSQL dialect detection
2.0.0 through 2.0.2; wrapper releases from April 6 through before July 29, 2026. Requires object creation in a schema on another connecting user’s search_path.
2.0.3 / wrapper release 2026-07-29
Companion modules
Check each installed module against the package ranges in the maintainer advisory.
auth-helpers, federated-auth, iam, mysql-driver, okta and pgx-driver: 1.1.3aws-secrets-manager: 1.1.4; custom-endpoint: 1.0.6otlp and xray: 1.0.9
Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.
Acceso necesarioRequiere acceso a una cuenta
EVIDENCIA CON FUENTES
Evidencia y fuentes
Revisado 14 nov 2026 UTC
Por qué tiene esta prioridad
AWS confirms a correction and an authenticated database prerequisite. The reviewed notices do not report attacks; November disclosure does not mean a new November compromise.
No hay un CVE coincidente en el corte del catálogo revisado. Esto no demuestra ausencia de explotación. Revisá las fuentes del incidente y las indicaciones del proveedor.
0.32% de probabilidad estimada de explotación en los próximos 30 días. No es la probabilidad de un ataque a tu organización.
Puntaje del 14 nov 2026 · Superior al 24.8% de las vulnerabilidades evaluadas.Sin cambios desde 13 nov 2026.Datos de FIRST EPSS
FIRST EPSS · Revisado 2026-11-14 21:07 UTC
La prioridad corresponde al aviso, no a cada producto o CVE por separado. Cada fila muestra solo la evidencia atribuida a ese CVE. La falta de evidencia de ataques no permite descartar una vulnerabilidad. Tu entorno no fue escaneado.