CVE-2026-107382 in Connector Node.js
Zusammenfassung
von VulDB • 09.10.2026
MariaDB Connector/Node.js wird verwendet, um Anwendungen, die auf Node.js entwickelt wurden, mit MariaDB- und MySQL-Datenbanken zu verbinden. Von Version 3.3.0 bis 3.5.4 ruft der Pfad zur TLS-Fingerabdruckvalidierung ohne Konfiguration (zero-configuration) `Ed25519PasswordAuth.hash()` über `Authentication.validateFingerPrint` auf, wobei `Ed25519PasswordAuth.hash()` eine Seed-ID referenziert, die nicht im Geltungsbereich liegt. Eine Ausnutzung erfordert einen MariaDB-Server, der über TCP erreicht wird; TLS ist aktiviert mit `ssl: true` oder ein ssl-Objekt, dessen Wert für `rejectUnauthorized` nicht false ist; ein Passwort ist festgelegt; es wurde kein `ssl.ca` konfiguriert; und als Authentifizierungsplugin wurde `client_ed25519` ausgehandelt. Unter diesen Bedingungen kann ein legitimer Server, ein bösartiger Server oder ein Netzwerkangreifer, der ein selbstsigniertes Zertifikat vorlegt, diesen Pfad erreichen und einen synchronen ReferenceError dazu bringen, den Socket-Daten-Handler zu verlassen. Gemäß dem Standardverhalten von Node.js für nicht abgefangene Ausnahmen (uncaught-exception) wird der Clientprozess beendet, was zu einem Denial of Service führt. Konfigurationen mit einer bereitgestellten CA (`ssl.ca`), `rejectUnauthorized: false`, einem anderen Authentifizierungsplugin oder einem Unix-Socket erreichen diesen verwundbaren Pfad nicht. Dieses Problem wurde in Version 3.5.4 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.