CVE-2026-55859 in MariaDB Connector
الملخص
بحسب VulDB • 29/08/2026
MariaDB Connector/R2DBC هو عميل غير متزامن (non-blocking) لـ MariaDB وMySQL مُنفَّذ بلغة Java. قبل الإصدار 1.4.1، كانت مكتبة org.mariadb:r2dbc-mariadb تُشفّر وتُفكّ تشفير جميع بيانات الأحرف بافتراض أن مجموعة أحرف الاتصال هي UTF-8. يمكن للخادم الإعلان عن تغيير في منتصف الجلسة لمجموعة `character_set_client` من خلال آلية تتبع حالة الجلسة باستخدام حزمة OK، بما في ذلك عبر تنفيذ أمر SET NAMES بواسطة إجراء مخزّن أو مُشغِّل (trigger)، أو إعدادات الخادم، أو خادوم عدائي أو يخضع لهجوم رجل في المنتصف (man-in-the-middle). إذا لم تكن مجموعة الأحرف الجديدة هي UTF-8، فإن البرنامج الوسيط يستمر في تبادل البيانات بصيغة UTF-8 بينما يفسّر الخادم نفس البايتات باستخدام ترميز مختلف، مما يؤدي إلى تلف صامت للبيانات وعدم تطابق ناتج عن ارتباك بين مجموعات أحرف العميل والخادم (charset-confusion mismatch)، وهو ما يمكن أن يُبطل آليات الاقتباس أو الهروب على مستوى البايت. يقبل الإصلاح فقط قيم utf8 وutf8mb3 وutf8mb4 بعد التهيئة؛ وأي قيمة أخرى ترفع استثناءً من نوع R2dbcNonTransientResourceException بحالة SQLState 08000 وتغلق الاتصال. تم إصلاح هذه المشكلة في الإصدار 1.4.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.