PostgreSQL Anonymizer 3.3 corrige des contournements du masquage des données
Dalibo a annoncé PostgreSQL Anonymizer 3.3 dans une publication du 28 octobre 2026, relayée le 29 octobre par le CERT-FR. Cette extension sert à masquer ou remplacer des données personnelles et commerciales dans PostgreSQL : l’alerte ne vise pas indistinctement toutes les installations du moteur de base de données.
La mise à jour corrige douze vulnérabilités. Parmi elles, CVE-2026-110181 permet à des rôles masqués de lire les données originales par certaines fonctions SQL ; CVE-2026-105617 concerne un contournement du masquage dynamique par des plans mis en cache. D’autres défauts touchent les statistiques, les tables héritées ou des fonctions de masquage. L’annonce décrit aussi des risques de privilèges et de déni de service, sans fournir de score CVSS individuel.
Les versions de l’extension antérieures à 3.3 doivent être mises à jour. Dalibo conseille également de changer le paramètre de sel utilisé pour la pseudonymisation et de suivre son guide de migration. De nouvelles restrictions peuvent affecter les règles existantes : leur compatibilité doit être vérifiée avant remise en service.
Les sources consultées n’attestent pas d’exploitation active. La correction reste importante lorsque des utilisateurs autorisés à consulter des données masquées ne doivent jamais accéder aux valeurs originales.
Mots-clés suggérés : PostgreSQL, Dalibo, anonymisation, confidentialité.
Sources :
Dalibo sur PostgreSQL.org, annonce officielle de la version 3.3, 28 octobre 2026
