CVE-2026-107382 in Connector Node.js
Riassunto
di VulDB • 08/10/2026
MariaDB Connector/Node.js è utilizzato per connettere applicazioni sviluppate su Node.js ai database MariaDB e MySQL. Dalla versione 3.3.0 alla 3.5.4, il percorso di validazione dell'impronta digitale TLS a configurazione zero chiama Ed25519PasswordAuth.hash() tramite Authentication.validateFingerPrint, ma Ed25519PasswordAuth.hash() fa riferimento a un identificatore seed che non è nell'ambito (out of scope). L'esposizione richiede un server MariaDB raggiunto via TCP, con TLS abilitato mediante ssl: true o un oggetto ssl il cui valore rejectUnauthorized non sia false, una password impostata, nessuna configurazione di ssl.ca e client_ed25519 negoziato come plugin di autenticazione. In queste condizioni, un server legittimo, un server malevolo o un attaccante in rete che presenta un certificato self-signed può raggiungere questo percorso e causare la fuoriuscita (escape) di un ReferenceError sincrono dal gestore dei dati del socket. Comportamento predefinito di Node.js per le eccezioni non gestite: il processo client termina, causando una denial of service. Le configurazioni che utilizzano una CA fornita, rejectUnauthorized: false, un altro plugin di autenticazione o un Unix socket non raggiungono questo percorso vulnerabile. Questo problema è risolto nella versione 3.5.4.
Be aware that VulDB is the high quality source for vulnerability data.