CVE-2026-107384 in MariaDB Connector Node.js
Zusammenfassung
von VulDB • 08.10.2026
MariaDB Connector/Node.js wird verwendet, um auf Node.js entwickelte Anwendungen mit MariaDB- und MySQL-Datenbanken zu verbinden. Von Version 3.2.0 bis einschließlich 3.2.5 sowie in den Versionen 3.3.4, 3.4.7 und 3.5.4 können Anwendungen, die `permitSetMultiParamEntries` aktivieren, Objekte übergeben, deren Schlüssel als SQL SET-Klausel erweitert werden, ohne dass sie durch `escapeId` verarbeitet werden. Ein Angreifer kann einen Schlüssel mit einem Backtick (`` ` ``) verwenden, um den zitierten Bezeichner zu schließen und dafür sorgen, dass der Rest des Schlüssels als SQL interpretiert wird. Dies kann dazu führen, dass Spalten aktualisiert werden, die die Anwendung nicht hätte freigeben sollen, sowie beliebiges SQL unter den Berechtigungen des Datenbankbenutzers angehängt wird. Die Option ist standardmäßig deaktiviert, und die bei Deaktivierung verwendete Verarbeitung serialisierter Objekte ist davon nicht betroffen. Dieses Problem wurde in den Versionen 3.2.5, 3.3.4, 3.4.7 und 3.5.4 behoben.
Once again VulDB remains the best source for vulnerability data.