There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Improper authentication in PgBouncer 1.17.0 through 1.26.0 allows a remote attacker who knows the password
    of a user listed in auth_file to log in as any other user that authenticates using SCRAM, including
    PgBouncer admin users and backend superusers. A second StartupMessage sent during SCRAM authentication
    against a non-existent database is not rejected and switches the user being logged in as, while the SCRAM
    exchange is still verified against the keys of the first user. (CVE-2026-107350)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PgBouncer 1.17.0 中的不当认证允许 1.26.0 知道 auth_file 中所列用户密码的远程攻击者以使用 SCRAM 进行认证的任何其他用户（包括 PgBouncer 管理员用户和后端超级用户）的身份登录。在对不存在的数据库进行 SCRAM 认证期间发送的第二个 StartupMessage 不会被拒绝并切换登录用户身份，同时仍会根据第一个用户的密钥验证 SCRAM 交换。（CVE-2026-107350）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - PgBouncer 1.17.01.26.0 中的不當驗證允許知道 auth_file 中列出的使用者密碼的遠端攻擊者以使用 SCRAM 驗證的任何其他使用者身分登入，包括 PgBouncer 管理員使用者和後端超級使用者。在針對不存在的資料庫進行 SCRAM 驗證期間傳送的第二個 StartupMessage 不會遭到拒絕，並會切換登入的使用者，而 SCRAM 交換仍會針對第一個使用者的金鑰進行驗證。（CVE-2026-107350）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.26.0 までの PgBouncer 1.17.0における不適切な認証により、auth_fileにリストされているユーザーのパスワードを知っているリモートの攻撃者が、PgBouncer 管理者ユーザーとバックエンドスーパーユーザーを含め、SCRAM を使用して認証する別のユーザーとしてログインできます。存在しないデータベースに対する SCRAM 認証中に送信された 2 つ目の StartupMessage が拒否されず、ユーザーをとして切り替えますが、SCRAM 交換は最初のユーザーのキーに対して依然として検証されます。(CVE-2026-107350)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Improper authentication in PgBouncer 1.17.0 through 1.26.0 allows a remote attacker who knows the password     of a user listed in auth_file to log in as any other user that authenticates using SCRAM, including     PgBouncer admin users and backend superusers. A second StartupMessage sent during SCRAM authentication     against a non-existent database is not rejected and switches the user being logged in as, while the SCRAM     exchange is still verified against the keys of the first user. (CVE-2026-107350)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
476416	Echo: pgbouncer: security update to 1.26.1	Tenable Cloud Security	Echo Local Security Checks	2026/10/21	2026/10/21	high
476416	Echo: pgbouncer: security update to 1.26.1	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/21	2026/10/21	high
365691	Linux Distros 未修补的漏洞：CVE-2026-107350	Nessus	Misc.	2026/10/14	2026/10/28	high
365691	Linux Distros 未修補弱點：CVE-2026-107350	Nessus	Misc.	2026/10/14	2026/10/28	high
365691	Linux Distros のパッチ未適用の脆弱性: CVE-2026-107350	Nessus	Misc.	2026/10/14	2026/10/28	high
365691	Linux Distros Unpatched Vulnerability : CVE-2026-107350	Nessus	Misc.	2026/10/14	2026/10/28	high

偵測

搜尋 Plugin

high

high

high

high

high

high