↑↓ 选择 ↵ 打开 ⌫ 改范围 完整检索页

pgsql.cc 提供对 postgresql.org 官网内容的中文翻译,由 Pigsty 团队维护。

PgBouncer 1.26.1 发布:修复三个 CVE

发布于 2026-10-14,PgBouncer
相关开源软件

PgBouncer 1.26.1 已发布。本次版本修复了三个 CVE:

  • CVE-2026-107350:身份验证绕过。知道一个 SCRAM 用户密码的客户端,可以冒充任意其他 SCRAM 用户登录,包括管理员和后端超级用户。原因是在连接不存在的数据库时,SCRAM 身份验证过程中仍会处理第二条 StartupMessage。
  • CVE-2026-107349:未经身份验证的客户端可触发无限循环,造成拒绝服务。当 ignore_startup_parameters 非空且不包含 options 时,启动参数 options 中的空选项名会触发该问题。
  • CVE-2026-107348:未经身份验证的客户端可触发无限循环,造成拒绝服务。原因是数据包缓冲区扩容逻辑中的整数溢出,仅在 max_packet_size 设置为高于默认值时出现。

本版本还让 ignore_startup_parameters 的优先级高于被跟踪的参数,因此 ignore_startup_parameters = search_path 可以恢复 1.25 版忽略 search_path 的行为。

更多信息、详细变更记录和下载链接,请参阅 https://www.pgbouncer.org/2026/10/pgbouncer-1-26-1。