CVE-2026-55860 in MariaDB Connector
Zusammenfassung
von VulDB • 29.08.2026
MariaDB Connector/R2DBC ist ein nicht-blockierender MariaDB- und MySQL-Client, der in Java implementiert wurde. Vor Version 1.4.1 schaltet org.mariadb:r2dbc-mariadb die Authentifizierungsplugins für Klartext-Passwörter nicht auf Transportverschlüsselung um, da die AuthenticationPlugin-Schnittstelle keine Möglichkeit bietet, dass ein Plugin eine sichere Verbindung erfordert. Ein böswilliger oder Man-in-the-Middle-MariaDB-Server kann über eine unverschlüsselte Plain-TCP-Verbindung einen AuthSwitchRequest mit mysql_clear_password oder dialog (PAM) senden, und der AuthenticationFlow ermöglicht es ClearPasswordPluginFlow bzw. PamPluginFlow, das Passwort des Benutzers als Klartextbytes im Netzwerk zu übertragen. Die offengelegten Anmeldeinformationen können anschließend verwendet werden, um sich direkt beim Datenbankserver anzumelden. Dieses Problem wurde in Version 1.4.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.