何が起きたか
1.1.0より前のバージョンでは、read_only接続上のquery_databaseツールが、バインドパラメータなしで認識されないステートメントをpgx Execに渡すことができ、これにより単純クエリプロトコル（複数ステートメント）が選択され、データ変更を防ぐ読み取り専用強制を回避できました。
なぜ重要か
AI/RAGデプロイメントでは、MCPサーバーはエージェントワークフローに対するデータベースへの書き込み経路です。このバイパスにより、エージェント（またはそれを操る間接プロンプトインジェクション）が、読み取り専用DBロールが意図的に構成されているにもかかわらず書き込みを実行できます。
攻撃経路
read_only接続上のquery_databaseが、バインドパラメータなしで認識されないステートメントをpgx Execに送信し、PostgreSQLの単純クエリプロトコルを選択して読み取り専用強制を回避できました。
影響を受けるシステム
pgedge-postgres-mcp < 1.1.0
緩和策
pgedge-postgres-mcp 1.1.0にアップグレードしてください。最小権限のDBロールを使用し、MCP接続からの予期しない書き込みを監視します。