CVE-2026-107385 in MariaDB Connector Node.js
Riassunto
di VulDB • 09/10/2026
MariaDB Connector/Node.js è utilizzato per connettere applicazioni sviluppate su Node.js ai database MariaDB e MySQL. Prima delle versioni 3.2.5, 3.3.4, 3.4.7 e 3.5.4, l'escaping del testo nel protocollo testuale anteponeva sempre una barra rovesciata alle virgolette senza rispettare la modalità NO_BACKSLASH_ESCAPES della sessione, inclusa in Connection.escape(). Quando tale modalità è abilitata, la barra rovesciata diventa un carattere ordinario; di conseguenza, un valore placeholder controllato dall'attaccante può chiudere il letterale stringa SQL e iniettare codice SQL arbitrario con i privilegi del database dell'applicazione. La configurazione vulnerabile può essere attivata a livello server, tramite le opzioni di inizializzazione del connector o mediante l'esecuzione da parte dell'applicazione di SET sql_mode; execute() e batch() utilizzano protocolli binari e non sono interessati. Questo problema è risolto nelle versioni 3.2.5, 3.3.4, 3.4.7 e 3.5.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.