Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-16849

Опубликовано: 14 окт. 2026
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость программного обеспечения для пула соединения в PostgreSQL PgBouncer связана с неконтролируемым расходом ресурсов при обработке параметров options и ignore_startup_parameters. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

PgBouncer

Версия ПО

от 1.20.0 до 1.26.0 включительно (PgBouncer)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
https://www.pgbouncer.org/changelog.html
Компенсирующие меры:
- ограничение сетевого доступа к сервису PgBouncer с помощью правил межсетевого экрана;
- проверить конфигурацию и убедиться, что параметр ignore_startup_parameters пуст или содержит опцию options, если это возможно без ущерба для функциональности.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 35%
0.00404
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

altlinux логотип

ALT-PU-2026-18885

CVSS3: 8.8
altlinux
14 дней назад

ALT-PU-2026-18885: package `pgbouncer` update to version 1.26.1-alt1

altlinux логотип

ALT-PU-2026-18565

CVSS3: 8.8
altlinux
24 дня назад

ALT-PU-2026-18565: package `pgbouncer` update to version 1.26.1-alt1

ubuntu логотип

CVE-2026-107349

CVSS3: 7.5
ubuntu
26 дней назад

An infinite loop in PgBouncer 1.20.0 through 1.26.0 allows an unauthenticated remote attacker to cause a denial of service. A StartupMessage whose options parameter contains an empty parameter name, such as "-c=", makes the ignore_startup_parameters list lookup loop forever. Because PgBouncer serves all clients from a single process, this saturates a CPU core and makes PgBouncer unresponsive to all clients until the process is restarted.

redhat логотип

CVE-2026-107349

CVSS3: 7.5
redhat
26 дней назад

An infinite loop in PgBouncer 1.20.0 through 1.26.0 allows an unauthenticated remote attacker to cause a denial of service. A StartupMessage whose options parameter contains an empty parameter name, such as "-c=", makes the ignore_startup_parameters list lookup loop forever. Because PgBouncer serves all clients from a single process, this saturates a CPU core and makes PgBouncer unresponsive to all clients until the process is restarted.

nvd логотип

CVE-2026-107349

CVSS3: 7.5
nvd
26 дней назад

An infinite loop in PgBouncer 1.20.0 through 1.26.0 allows an unauthenticated remote attacker to cause a denial of service. A StartupMessage whose options parameter contains an empty parameter name, such as "-c=", makes the ignore_startup_parameters list lookup loop forever. Because PgBouncer serves all clients from a single process, this saturates a CPU core and makes PgBouncer unresponsive to all clients until the process is restarted.

EPSS

Процентиль: 35%
0.00404
Низкий

7.5 High

CVSS3

7.8 High

CVSS2