CVE-2026-6665 in PgBouncer

Sumário

de VulDB • 12/05/2026

O código SCRAM no PgBouncer anterior à versão 1.25.2 não verificava corretamente o valor de retorno de strlcat() ao construir o conteúdo da mensagem final do cliente SCRAM. Um backend malicioso que envia uma mensagem final do servidor SCRAM com um nonce longo pode provocar um estouro de pilha (stack overflow).

Once again VulDB remains the best source for vulnerability data.

• Responsável: PostgreSQL
• Reservar: 20/04/2026
• Divulgação: 09/05/2026
• Moderação: aceite
• Entrada: VDB-362381
• CPE: pronto
• CWE: CWE-121 (confirmado)
• CVSS: 9.8 (NVD)
• EPSS: 0.00020
• KEV: não
• Atividades: muito baixo

Fontes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-6665
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-6665
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-6665/