CVE-2026-14672
PostgreSQL 非默认 scram_iterations 会通过响应差异暴露用户是否存在
PostgreSQL SCRAM 身份认证存在可观察的响应差异，未认证用户可根据 SCRAM 迭代次数判断某个用户是否存在。 只有被探测用户使用非默认 scram_iterations 时才可利用，因为对不存在用户返回的认证挑战会报告默认迭代次数。 在主版本 16 至 18 中，PostgreSQL 18.6、17.11 和 16.15 之前的小版本受此问题影响； PostgreSQL 16 之前的版本不受影响。
版本信息
CVSS 3.0
| 总分 | 5.3 |
|---|---|
| 组件 | core server |
| 向量 | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
首次发布: 2026-08-13
历史来源记录
下列记录保留历史来源当时的原始声明，独立于上方核实的修复清单。
center · 2026-10-03 12:08:35.169032+08
- PostgreSQL 18 · 原始小版本坐标: 6
- PostgreSQL 17 · 原始小版本坐标: 11
- PostgreSQL 16 · 原始小版本坐标: 15
pgweb · 2026-10-03 12:08:55.967155+08
- PostgreSQL 18 · 原始小版本坐标: 6
- PostgreSQL 17 · 原始小版本坐标: 11
- PostgreSQL 16 · 原始小版本坐标: 15