Medium WID-SEC-2025-2734 1 CVE

PgBouncer: Schwachstelle ermöglicht SQL injection

Published Dec 3, 2025 · Updated Dec 28, 2025 · Revision 3 · de-DE

Vendor: Debian Vendor: Microsoft Product: Azure Linux Product: Linux Platform: Linux Platform: Windows

Summary

Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in PgBouncer ausnutzen, um einen SQL-Injection Angriff durchzuführen.

Product

PgBouncer ist ein leichtgewichtiger Connection-Pooler für PostgreSQL

Vulnerabilities 1

High 7.5

CVE-2025-12819

Untrusted search path in auth_query connection in PgBouncer

Untrusted search path in auth_query connection handler in PgBouncer before 1.25.1 allows an unauthenticated attacker to execute arbitrary SQL during authentication via a malicious search_path parameter in the StartupMessage.

pgbouncer pgbouncer pgbouncer pgbouncer Debian Ubuntu Azure Linux Alpine Wolfi

Dec 3, 2025

Revision history

2025-12-28 #3
Neue Updates von Debian aufgenommen
2025-12-09 #2
Neue Updates aufgenommen
2025-12-03 #1
Initiale Fassung

References

PgBouncer Release 1.25.1 vom 2025-12-03
https://www.pgbouncer.org/2025/12/pgbouncer-1.25-1
PgBouncer changelog vom 2025-12-03
https://www.pgbouncer.org/changelog.html
Microsoft Leitfaden für Sicherheitsupdates vom 2025-12-09
https://msrc.microsoft.com/update-guide/
Debian Security Advisory DLA-4422 vom 2025-12-27
https://lists.debian.org/debian-lts-announce/2025/12/msg00033.html