CVSS: 8.1EPSS: 0%CPEs: 4EXPL: 0CVE-2021-3935
https://notcve.org/view.php?id=CVE-2021-3935
When PgBouncer is configured to use "cert" authentication, a man-in-the-middle attacker can inject arbitrary SQL queries when a connection is first established, despite the use of TLS certificate verification and encryption. This flaw affects PgBouncer versions prior to 1.16.1. Cuando PgBouncer está configurado para usar la autenticación "cert", un atacante de tipo "man-in-the-middle" puede inyectar consultas SQL arbitrarias cuando se establece una conexión por primera vez, a pesar del uso de la verificación y el cifrado de certificados TLS. Este fallo afecta a PgBouncer versiones anteriores a 1.16.1 • http://www.pgbouncer.org/changelog.html#pgbouncer-116x https://bugzilla.redhat.com/show_bug.cgi?id=2021251 https://lists.debian.org/debian-lts-announce/2022/02/msg00016.html https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TNPCV3KRDI5PLLLKADFVIOHACQJLZMLI • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') CWE-295: Improper Certificate Validation •
CVSS: 6.8EPSS: 0%CPEs: 35EXPL: 1CVE-2021-3672 – c-ares: Missing input validation of host names may lead to domain hijacking
https://notcve.org/view.php?id=CVE-2021-3672
A flaw was found in c-ares library, where a missing input validation check of host names returned by DNS (Domain Name Servers) can lead to output of wrong hostnames which might potentially lead to Domain Hijacking. The highest threat from this vulnerability is to confidentiality and integrity as well as system availability. Se ha encontrado un fallo en la biblioteca c-ares, en la que una falta de comprobación de la comprobación de entrada de los nombres de host devueltos por los DNS (Servidores de Nombres de Dominio) puede conllevar a una salida de nombres de host erróneos, que podría conllevar potencialmente a un Secuestro de Dominios. La mayor amenaza de esta vulnerabilidad es para la confidencialidad e integridad, así como para la disponibilidad del sistema • https://bugzilla.redhat.com/show_bug.cgi?id=1988342 https://c-ares.haxx.se/adv_20210810.html https://cert-portal.siemens.com/productcert/pdf/ssa-389290.pdf https://security.gentoo.org/glsa/202401-02 https://www.oracle.com/security-alerts/cpujul2022.html https://access.redhat.com/security/cve/CVE-2021-3672 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.1EPSS: 1%CPEs: 1EXPL: 0CVE-2015-6817
https://notcve.org/view.php?id=CVE-2015-6817
PgBouncer 1.6.x before 1.6.1, when configured with auth_user, allows remote attackers to gain login access as auth_user via an unknown username. PgBouncer versiones 1.6.x anteriores a la 1.6.1, cuando está configurado con auth_user, permite a atacantes remotos obtener acceso como auth_user a través de un nombre de usuario desconocido. • http://comments.gmane.org/gmane.comp.db.postgresql.pgbouncer.general/1251 http://www.openwall.com/lists/oss-security/2015/09/05/7 https://github.com/pgbouncer/pgbouncer/commit/7ca3e5279d05fceb1e8a043c6f5b6f58dea3ed38 https://github.com/pgbouncer/pgbouncer/issues/69 https://pgbouncer.github.io/2015/09/pgbouncer-1-6-1 https://security.gentoo.org/glsa/201701-24 • CWE-287: Improper Authentication •