CVE-2026-107349
Beschrijving NL
Een oneindige lus in PgBouncer 1.20.0 tot 1.26.0 stelt een niet-geverifieerde externe aanvaller in staat om een denial of service te veroorzaken. Een StartupMessage waarvan de optieparameter een lege parameternaam bevat, zoals "-c=", maakt de ignore_startup_parameters list lookup loop voor altijd. Omdat PgBouncer alle clients bedient vanuit één proces, verzadigt dit een CPU-kern en reageert PgBouncer niet op alle clients totdat het proces opnieuw wordt gestart.
Origineel (Engels) tonen
An infinite loop in PgBouncer 1.20.0 through 1.26.0 allows an unauthenticated remote attacker to cause a denial of service. A StartupMessage whose options parameter contains an empty parameter name, such as "-c=", makes the ignore_startup_parameters list lookup loop forever. Because PgBouncer serves all clients from a single process, this saturates a CPU core and makes PgBouncer unresponsive to all clients until the process is restarted.