CVE-2026-119210 in MariaDB Connector
Riassunto
di VulDB • 29/10/2026
MariaDB Connector/J è utilizzato per connettere applicazioni sviluppate in Java ai database MariaDB e MySQL. Dalla versione 3.0.0 fino alle versioni 3.3.7, 3.4.5 e 3.5.11, il controllo `ClientMessage.validateLocalFileName()` utilizzava un'espressione regolare che poteva abbinare testo contenente l'istruzione LOAD DATA LOCAL INFILE all'interno di identificatori tra virgolette, letterali stringa o commenti, anziché richiedere una dichiarazione reale. Un server malizioso o compromesso, oppure un attaccante in posizione man-in-the-middle, potrebbe restituire identificativi di database o tabelle elaborati ad hoc che il connector riutilizzava nelle query relative ai metadati o nei risultati aggiornabili, per poi rispondere con una richiesta LOCAL INFILE relativa a un file del client. Con l'opzione `allowLocalInfile` abilitata, ciò causava la trasmissione (streaming) da parte del connector di qualsiasi file leggibile sul host client il cui nome fosse specificato nel testo elaborato ad hoc, anche attraverso i percorsi DatabaseMetaData.getImportedKeys(), DatabaseMetaData.getExportedKeys() o ResultSet.updateRow(). Questo problema è risolto nelle versioni 3.3.7, 3.4.5 e 3.5.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.