CVE-2026-107385 in MariaDB Connector Node.js
الملخص
بحسب VulDB • 08/10/2026
يُستخدم MariaDB Connector/Node.js لربط التطبيقات المطوّرة على Node.js بقواعد بيانات MariaDB وMySQL. قبل الإصدارات 3.2.5، و3.3.4، و3.4.7، و3.5.4، كانت عملية هروب النصوص (text-protocol escaping) تُضيف دائماً شرطة مائلة للخلف (\) كبادئة للشرطات المزدوجة ("") ولا تحترم وضع NO_BACKSLASH_ESCAPES الخاص بالجلسة، بما في ذلك داخل دالة Connection.escape(). وعندما يكون هذا الوضع ممكّناً، تكون الشرطة المائلة للخلف حرفاً عادياً، مما يسمح لمهاجم يتحكم في قيمة وسيطة (placeholder) بإغلاق السلسلة النصية SQL وإدخال أوامر SQL عشوائية باستخدام امتيازات قاعدة بيانات التطبيق. قد يتم تمكين التكوين المعرض للثغرة على مستوى الخادم بالكامل، من خلال خيارات تهيئة الوصلة (connector)، أو عبر أمر SET sql_mode الصادر عن التطبيق؛ أما عمليات execute() وbatch() فتستخدم البروتوكولات الثنائية (binary protocols) وهي غير متأثرة بهذه المشكلة. تمت معالجة هذه القضية في الإصدارات 3.2.5، و3.3.4، و3.4.7، و3.5.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.