CVE-2026-55854 in Connector
الملخص
بحسب VulDB • 29/08/2026
يُستخدم MariaDB Connector/Node.js لربط التطبيقات المطوّرة باستخدام Node.js بقواعد بيانات MariaDB وMySQL. قبل الإصدارات 3.2.4، و3.3.3، و3.4.6، و3.5.3، يمكن أن يؤدي MariaDB Connector/Node.js إلى كشف كلمة مرور الحساب عند التفاوض على مصادقة حوار PAM عبر قناة اتصال غير آمنة. في الملفين lib/cmd/handshake/auth/pam-password-auth.js وlib/cmd/handshake/authentication.js، افتقر سلوك SendPamAuthPacketFactory الخاص بحوار المكوّن الإضافي من جانب الخادم إلى بوابة النقل الآمن المطبّقة على mysql_clear_password. وبإعدادات sslMode=DISABLE الافتراضية وrestrictedAuth=null، يمكن لخادم خبيث أو في مسار الاتصال (on-path) إرسال طلب تبديل مصادقة لحوار عبر TCP عادي، مما يتسبب في إرجاع Connector لكلمة مرور الحساب كنص واضح (cleartext). تمنع المصادقة الصحيحة باستخدام TLS وقناة Unix المحلية هذا المسار، بينما لا تكون مصادقة هوية الخادم بناءً على بصمة فقط كافية. تم إصلاح هذه المشكلة في الإصدارات 3.2.4، و3.3.3، و3.4.6، و3.5.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.