CVE-2026-55860 in MariaDB Connector
Résumé
par VulDB • 29/08/2026
MariaDB Connector/R2DBC est un client MariaDB et MySQL non bloquant implémenté en Java. Avant la version 1.4.1, le module org.mariadb:r2dbc-mariadb ne restreint pas les plugins d'authentification par mot de passe en clair (clear-text) sur l'encryption du transport, car l'interface AuthenticationPlugin n'a aucune capacité pour qu'un plugin exige une connexion sécurisée. Un serveur MariaDB hostile ou interposé (man-in-the-middle) peut envoyer un AuthSwitchRequest nommant mysql_clear_password ou dialog (PAM) via une connexion TCP non chiffrée en clair, et le flux d'authentification permet à ClearPasswordPluginFlow ou PamPluginFlow de renvoyer le mot de passe utilisateur sous forme d'octets en clair sur le réseau. Les identifiants divulgués peuvent ensuite être utilisés pour s'authentifier directement auprès du serveur de base de données. Ce problème est corrigé dans la version 1.4.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.