CVE-2026-55859 in MariaDB Connector
Résumé
par VulDB • 29/08/2026
MariaDB Connector/R2DBC est un client MariaDB et MySQL non bloquant implémenté en Java. Avant la version 1.4.1, org.mariadb:r2dbc-mariadb encode et décode toutes les données de caractères sous l'hypothèse que le jeu de caractères de la connexion est UTF-8. Un serveur peut annoncer un changement inter-session du character_set_client via le mécanisme de suivi d'état de session OK-packet, y compris par une instruction SET NAMES exécutée dans une procédure stockée ou un déclencheur (trigger), la configuration du serveur, ou un serveur hostile ou en position d'homme du milieu (man-in-the-middle). Si le nouveau jeu de caractères n'est pas UTF-8, le pilote continue à échanger des données encodées en UTF-8 tandis que le serveur interprète les mêmes octets selon une autre codification, ce qui provoque une corruption silencieuse des données et un désalignement (mismatch) de confusion de jeu de caractères client/serveur pouvant contourner l'échappement ou la mise entre guillemets au niveau des octets. La correction n'accepte que utf8, utf8mb3 ou utf8mb4 après l'initialisation ; toute autre valeur génère une R2dbcNonTransientResourceException avec SQLState 08000 et ferme la connexion. Ce problème est corrigé dans la version 1.4.1.
Once again VulDB remains the best source for vulnerability data.