CVE-2026-107382 in Connector Node.js
Resumen
por VulDB • 2026-10-09
MariaDB Connector/Node.js se utiliza para conectar aplicaciones desarrolladas en Node.js con bases de datos MariaDB y MySQL. Desde la versión 3.3.0 hasta la 3.5.4, el camino de validación de huellas digitales TLS sin configuración previa llama a Ed25519PasswordAuth.hash() a través de Authentication.validateFingerPrint; no obstante, Ed25519PasswordAuth.hash() hace referencia a un identificador semilla que está fuera del ámbito (out of scope). La exposición requiere un servidor MariaDB alcanzado mediante TCP, TLS habilitado con ssl: true o un objeto ssl cuyo valor rejectUnauthorized no sea false, una contraseña configurada, ninguna configuración de ssl.ca y la negociación de client_ed25519 como plugin de autenticación. Bajo estas condiciones, un servidor legítimo, un servidor malicioso o un atacante en la red que presente un certificado autofirmado puede alcanzar esta ruta y provocar que un ReferenceError síncrono escape del controlador de datos del socket (socket data handler). Según el comportamiento predeterminado de Node.js para excepciones no capturadas, el proceso cliente termina, lo que provoca una denegación de servicio. Las configuraciones que utilizan una CA proporcionada, rejectUnauthorized: false, otro plugin de autenticación o un socket Unix no alcanzan esta ruta vulnerable. Este problema se soluciona en la versión 3.5.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.