]> granicus.if.org Git - postgresql/commit
Add a new GUC parameter backslash_quote, which determines whether the SQL
authorTom Lane <tgl@sss.pgh.pa.us>
Sun, 21 May 2006 20:12:20 +0000 (20:12 +0000)
committerTom Lane <tgl@sss.pgh.pa.us>
Sun, 21 May 2006 20:12:20 +0000 (20:12 +0000)
commit16e77740ea9e7f585393e4c5e20495f5ebce8d88
tree3adacbb5b50249f37e00ca025f5e2ffbe39bd595
parent5c4de6704454cebb57662a272f823159844ecf72
Add a new GUC parameter backslash_quote, which determines whether the SQL
parser will allow "\'" to be used to represent a literal quote mark.  The
"\'" representation has been deprecated for some time in favor of the
SQL-standard representation "''" (two single quote marks), but it has been
used often enough that just disallowing it immediately won't do.  Hence
backslash_quote allows the settings "on", "off", and "safe_encoding",
the last meaning to allow "\'" only if client_encoding is a valid server
encoding.  That is now the default, and the reason is that in encodings
such as SJIS that allow 0x5c (ASCII backslash) to be the last byte of a
multibyte character, accepting "\'" allows SQL-injection attacks as per
CVE-2006-2314 (further details will be published after release).  The
"on" setting is available for backward compatibility, but it must not be
used with clients that are exposed to untrusted input.

Thanks to Akio Ishida and Yasuo Ohgaki for identifying this security issue.
doc/src/sgml/runtime.sgml
src/backend/parser/scan.l
src/backend/utils/misc/guc.c
src/backend/utils/misc/postgresql.conf.sample
src/bin/psql/tab-complete.c
src/include/parser/gramparse.h