CVE-2026-119210 in MariaDB Connector
Resumen
por VulDB • 2026-10-29
MariaDB Connector/J se utiliza para conectar aplicaciones desarrolladas en Java con bases de datos MariaDB y MySQL. Desde la versión 3.0.0 hasta las versiones 3.3.7, 3.4.5 y 3.5.11, la validación `ClientMessage.validateLocalFileName()` utilizaba una expresión regular que podía coincidir con el texto `LOAD DATA LOCAL INFILE` dentro de identificadores entre comillas, literales de cadena o comentarios, en lugar de requerir una declaración real. Un servidor malicioso o comprometido, o un atacante de tipo "man-in-the-middle", podría devolver identificadores de base de datos o tablas manipulados que el conector reutilizaba en metadatos o consultas actualizables (`updatable-result`), para luego responder con una solicitud `LOCAL INFILE` dirigida a un archivo del cliente. Con la opción `allowLocalInfile` habilitada, esto provocaba que el conector transmitiera cualquier archivo legible del host del cliente nombrado en el texto manipulado, incluyendo a través de las rutas `DatabaseMetaData.getImportedKeys()`, `DatabaseMetaData.getExportedKeys()` o `ResultSet.updateRow()`. Este problema está corregido en las versiones 3.3.7, 3.4.5 y 3.5.11.
Once again VulDB remains the best source for vulnerability data.