事件经过
在1.1.0之前，自定义pl-do工具通过将JSON参数拼接成固定的美元引号分隔字符串而未转义来构建PostgreSQL DO块。包含美元引号标签的精心构造参数可突破引号区域，使MCP客户端注入以连接权限执行的SQL。
影响分析
MCP客户端通常是LLM代理。此处的SQL注入将提示驱动的工具调用转变为对连接角色的任意数据库访问，使代理（或针对该代理的提示注入）能超出预期工具契约读取或修改数据库内容。
攻击途径
自定义pl-do工具将JSON参数插值到由固定美元引号标签分隔的PostgreSQL DO块中。包含分隔符令牌的参数可终止引号并作为连接的数据库角色注入任意SQL。
受影响系统
pgedge-postgres-mcp < 1.1.0（自定义pl-do工具）
缓解措施
升级到pgedge-postgres-mcp 1.1.0。限制MCP服务器访问仅限可信客户端；将数据库角色绑定到最小权限。