Ya está disponible PgBouncer 1.26.1, una versión que soluciona tres vulnerabilidades de seguridad:

1. CVE-2026-107350: Bypass de autenticación. Un cliente que conoce la contraseña de un usuario autenticado mediante SCRAM puede iniciar sesión haciéndose pasar por cualquier otro usuario SCRAM, incluidos los administradores y los superusuarios del servidor de base de datos. La vulnerabilidad se produce cuando, durante la autenticación SCRAM, se procesa un segundo StartupMessage al intentar conectarse a una base de datos que no existe.
2. CVE-2026-107349: Denegación de servicio (DoS) por un bucle infinito. Un cliente no autenticado puede provocar esta condición debido a un nombre de opción vacío en el parámetro options del mensaje de inicio. Para que el problema se produzca, ignore_startup_parameters debe contener algún valor, pero no debe incluir options.
3. CVE-2026-107348: Denegación de servicio (DoS) por un bucle infinito. Un cliente no autenticado puede desencadenar el problema debido a un desbordamiento de enteros en el mecanismo que amplía el búfer de paquetes. Esta vulnerabilidad solo es aplicable cuando max_packet_size se establece en un valor superior al predeterminado.

Además, establece que ignore_startup_parameters prevalezca sobre los parámetros cuyo seguimiento está habilitado. De este modo, configurar ignore_startup_parameters = search_path permite recuperar el comportamiento de la versión 1.25, que ignoraba el parámetro search_path.

Encontrarán más información, el registro detallado de cambios y los enlaces de descarga en https://www.pgbouncer.org/2026/10/pgbouncer-1-26-1