CVE-2026-55215 in MariaDB Connector Node.js
Zusammenfassung
von VulDB • 28.08.2026
MariaDB Connector/Node.js wird verwendet, um auf Node.js entwickelte Anwendungen mit MariaDB- und MySQL-Datenbanken zu verbinden. Vor den Versionen 3.3.3, 3.4.6 und 3.5.3 sendet der MariaDB Connector/Node.js Anmeldeinformationen (Credentials), bevor die Validierung des Zertifikat-Fingerabdrucks abgeschlossen ist, wenn SSL aktiviert ist, aber kein pinned CA- oder Serverzertifikat angegeben wurde. In lib/cmd/handshake/auth/handshake.js kann ein Server, der mysql_clear_password als ursprüngliches Authentifizierungsplugin auswählt, das Passwort erhalten, bevor die Identitätsprüfung nach TLS durchgeführt wird. In lib/cmd/handshake/authentication.js kann ein Authentifizierungswechsel das vorherige Plugin anstelle des angeforderten Zielplugins auswerten, wodurch mysql_clear_password die Anmeldeinformationen zuerst senden kann. Ein aktiver Man-in-the-Middle-Angriff (MitM) kann ein selbstsigniertes Zertifikat präsentieren, das Datenbankpasswort abfangen und es zur direkten Authentifizierung verwenden, obwohl der Connector den Server später ablehnt und die Verbindung schließt. Dieses Problem wurde in den Versionen 3.3.3, 3.4.6 und 3.5.3 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.