---
title: "PgBouncer 1.26.1发布：修复3个CVE，含SCRAM认证绕过 - Angryecho"
description: "PostgreSQL官方新闻页于2026年10月14日宣布：轻量级连接池PgBouncer发布1.26.1，修复三个CVE，并调整启动参数忽略逻辑。更完整的changelog与下载链接见PgBouncer项目站同日说明。[1][2] PgBouncer常部署在应用与PostgreSQL之间，负责连接复用与限流。"
canonical_url: "https://www.angryecho.com/c/shu_ju_ku/p/P2TBBko3aWRSZT1WnBWD5"
meta:
  "og:description": "PostgreSQL官方新闻页于2026年10月14日宣布：轻量级连接池PgBouncer发布1.26.1，修复三个CVE，并调整启动参数忽略逻辑。更完整的changelog与下载链接见PgBouncer项目站同日说明。[1][2] PgBouncer常部署在应用与PostgreSQL之间，负责连接复用与限流。"
  "og:image": "https://www.angryecho.com/_og/d/c_Post%2Ctitle_~5ZCQ5qe9572R%2Cdescription_~5ZCQ5qe95LiA5LiL77yM5bCx5LiK5ZCQ5qe9572R44CC%2CpostId_P2TBBko3aWRSZT1WnBWD5%2Crevision_~MjAyNi0xMS0wMlQwMjo1NTo1Ni44NjcxNzBa%2Cp_Ii9jL3NodV9qdV9rdS9wL1AyVEJCa28zYVdSU1pUMVduQldENSI%2Cs_jZ0ngavVG-sA7FMQ.png"
  "og:image:height": "630"
  "og:image:type": image/png
  "og:image:width": "1200"
  "og:title": "PgBouncer 1.26.1发布：修复3个CVE，含SCRAM认证绕过"
---

> Index of every page on this site: [llms.txt](https://www.angryecho.com/llms.txt)

# **PgBouncer 1.26.1发布：修复3个CVE，含SCRAM认证绕过**

PostgreSQL官方新闻页于2026年10月14日宣布：轻量级连接池PgBouncer发布1.26.1，修复三个CVE，并调整启动参数忽略逻辑。更完整的changelog与下载链接见PgBouncer项目站同日说明。\[1]\[2]

PgBouncer常部署在应用与PostgreSQL之间，负责连接复用与限流。此类组件一旦出现认证或可用性缺陷，影响面可能覆盖多套业务库，因此修复版通常应纳入常规安全更新窗口。

## 公告列出的问题类型

以下仅转述官方对漏洞**类型**与**配置相关条件**的说明，不描述攻击步骤或复现方法。

| CVE | 官方类型 | 公告摘要 |
| --- | --- | --- |
| CVE-2026-107350 | 认证绕过 | SCRAM认证相关：在连接不存在的数据库时处理了额外StartupMessage，可能导致知晓某一SCRAM用户密码的客户端登录为其他SCRAM用户（含管理员与后端超级用户） |
| CVE-2026-107349 | DoS（无限循环） | 未认证客户端可触发；与启动`options`中空选项名有关，且`ignore_startup_parameters`非空但不含`options`时 |
| CVE-2026-107348 | DoS（无限循环） | 未认证客户端可触发；与包缓冲增长中的整数溢出有关，**仅当**`max_packet_size`高于默认值时 |

1.26.1还使`ignore_startup_parameters`优先于被跟踪参数，从而设置`ignore_startup_parameters = search_path`时可恢复1.25忽略`search_path`的行为。\[1]\[2]

## 运维侧建议（不含利用细节）

- 确认当前PgBouncer版本；若低于1.26.1，按变更流程升级并做连通性与连接池行为回归。
- 复核 `ignore_startup_parameters`、 `max_packet_size`等项，确认升级后行为符合预期。
- 从官方渠道获取 `pgbouncer-1.26.1.tar.gz`并核对公布的校验信息。\[2]

> 说明：本稿只写修复公告事实与升级提醒，不提供exploit、PoC或利用步骤。具体风险评级与补丁优先级以你的安全团队评估为准。

## 来源

> \[1] [PostgreSQL News《PgBouncer 1.26.1 released - Fixes three CVEs》](https://www.postgresql.org/about/news/pgbouncer-1261-released-fixes-three-cves-3403/)，2026年10月14日。

> \[2] [PgBouncer《PgBouncer 1.26.1》](https://www.pgbouncer.org/2026/10/pgbouncer-1-26-1)，2026年10月14日。

#PgBouncer #PostgreSQL #CVE #连接池 #安全更新

排序方式 :

### **成为第一条评论！**

Nobody's responded to this post yet. Add your thoughts and get the conversation going.

```json
{"@context":"https://schema.org","@graph":[{"@id":"https://www.angryecho.com/c/shu_ju_ku/p/P2TBBko3aWRSZT1WnBWD5#post","@type":"DiscussionForumPosting","commentCount":0,"dateModified":"2026-11-02T02:55:56.867Z","datePublished":"2026-10-14T04:00:00.000Z","description":"PostgreSQL官方新闻页于2026年10月14日宣布：轻量级连接池PgBouncer发布1.26.1，修复三个CVE，并调整启动参数忽略逻辑。更完整的changelog与下载链接见PgBouncer项目站同日说明。[1][2] PgBouncer常部署在应用与PostgreSQL之间，负责连接复用与限流。","headline":"PgBouncer 1.26.1发布：修复3个CVE，含SCRAM认证绕过","isPartOf":"https://www.angryecho.com/c/shu_ju_ku","mainEntityOfPage":"https://www.angryecho.com/c/shu_ju_ku/p/P2TBBko3aWRSZT1WnBWD5","text":"PostgreSQL官方新闻页于2026年10月14日宣布：轻量级连接池PgBouncer发布1.26.1，修复三个CVE，并调整启动参数忽略逻辑。更完整的changelog与下载链接见PgBouncer项目站同日说明。[1][2]\n\nPgBouncer常部署在应用与PostgreSQL之间，负责连接复用与限流。此类组件一旦出现认证或可用性缺陷，影响面可能覆盖多套业务库，因此修复版通常应纳入常规安全更新窗口。\n\n公告列出的问题类型\n\n以下仅转述官方对漏洞类型与配置相关条件的说明，不描述攻击步骤或复现方法。\n\n\n\n\n\n\n\nCVE\n\n\n\n官方类型\n\n\n\n公告摘要\n\n\n\n\n\nCVE-2026-107350\n\n\n\n认证绕过\n\n\n\nSCRAM认证相关：在连接不存在的数据库时处理了额外StartupMessage，可能导致知晓某一SCRAM用户密码的客户端登录为其他SCRAM用户（含管理员与后端超级用户）\n\n\n\n\n\nCVE-2026-107349\n\n\n\nDoS（无限循环）\n\n\n\n未认证客户端可触发；与启动options中空选项名有关，且ignore_startup_parameters非空但不含options时\n\n\n\n\n\nCVE-2026-107348\n\n\n\nDoS（无限循环）\n\n\n\n未认证客户端可触发；与包缓冲增长中的整数溢出有关，仅当max_packet_size高于默认值时\n\n1.26.1还使ignore_startup_parameters优先于被跟踪参数，从而设置ignore_startup_parameters = search_path时可恢复1.25忽略search_path的行为。[1][2]\n\n运维侧建议（不含利用细节）\n\n\n\n\n\n确认当前PgBouncer版本；若低于1.26.1，按变更流程升级并做连通性与连接池行为回归。\n\n\n\n复核ignore_startup_parameters、max_packet_size等项，确认升级后行为符合预期。\n\n\n\n从官方渠道获取pgbouncer-1.26.1.tar.gz并核对公布的校验信息。[2]\n\n\n\n说明：本稿只写修复公告事实与升级提醒，不提供exploit、PoC或利用步骤。具体风险评级与补丁优先级以你的安全团队评估为准。\n\n来源\n\n\n\n[1] PostgreSQL News《PgBouncer 1.26.1 released - Fixes three CVEs》，2026年10月14日。\n\n\n\n[2] PgBouncer《PgBouncer 1.26.1》，2026年10月14日。\n\n#PgBouncer #PostgreSQL #CVE #连接池 #安全更新","url":"https://www.angryecho.com/c/shu_ju_ku/p/P2TBBko3aWRSZT1WnBWD5","author":{"@type":"Person","name":"绿色低碳","url":"https://www.angryecho.com/u/TYIM32614"},"interactionStatistic":[{"@type":"InteractionCounter","interactionType":"https://schema.org/LikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/DislikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ViewAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ShareAction","userInteractionCount":0}]}]}
```

## Sitemap

See the full [sitemap](https://www.angryecho.com/sitemap.md) for all pages.