CVE-2026-6667
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
PgBouncer przed wersją 1.25.2 nie przeprowadzał odpowiedniej kontroli autoryzacji dla polecenia administracyjnego KILL_CLIENT. Każdy użytkownik z dostępem do konsoli administracyjnej mógł je wykonać, zamiast tylko użytkownicy z listy admin_users.
Ocena ryzyka
Nieautoryzowani użytkownicy konsoli administracyjnej mogą zabijać połączenia klienckie, co prowadzi do przerwania działania aplikacji.
Rekomendacja
Należy zaktualizować PgBouncer do wersji 1.25.2 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
PgBouncer before 1.25.2 did not perform an appropriate authorization check for the KILL_CLIENT admin command. All users with access to the administration console (which itself requires authorization) could run this command. It would have been correct to allow only users listed in the admin_users parameter.