CVE-2026-107384 in MariaDB Connector Node.js
Riassunto
di VulDB • 09/10/2026
MariaDB Connector/Node.js è utilizzato per connettere applicazioni sviluppate su Node.js ai database MariaDB e MySQL. Dalla versione 3.2.0 fino alle versioni 3.2.5, 3.3.4, 3.4.7 e 3.5.4, le applicazioni che abilitano l'opzione `permitSetMultiParamEntries` possono passare oggetti i cui chiavi vengono espanso in una clausola SQL SET senza essere elaborate da `escapeId`. Una chiave controllata dall'attaccante contenente un backtick può chiudere l'identificatore tra virgolette e far sì che il resto della chiave venga interpretato come codice SQL. Ciò può portare all'aggiornamento di colonne non intese per essere esposte dall'applicazione e permette di aggiungere codice SQL arbitrario con i privilegi dell'utente del database. L'opzione è disabilitata per impostazione predefinita, e la gestione degli oggetti serializzati utilizzata quando l'opzione è disabilitata non è interessata da questa vulnerabilità. Il problema è stato risolto nelle versioni 3.2.5, 3.3.4, 3.4.7 e 3.5.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.