CVE-2026-55215 in MariaDB Connector Node.js
要約
〜によって VulDB • 2026年08月28日
MariaDB Connector/Node.jsは、Node.jsで開発されたアプリケーションをMariaDBおよびMySQLデータベースに接続するために使用されます。バージョン3.3.3、3.4.6、および3.5.3より前では、CA証明書やサーバー証明書の固定（pinning）なしでSSLが有効化されている場合、MariaDB Connector/Node.jsは証明書フィンガープリントの検証を完了する前に資格情報を送信します。lib/cmd/handshake/auth/handshake.jsにおいて、mysql_clear_passwordを初期認証プラグインとして選択したサーバーは、TLS後のアイデンティティチェックの前にパスワードを受信できます。また、lib/cmd/handshake/authentication.jsでは、認証スイッチが要求されたターゲットプラグインではなく前のプラグインを評価することがあり、これによりmysql_clear_passwordが資格情報を最初に送信できるようになります。中間者攻撃（MitM）を行うアクティブな攻撃者は自己署名証明書を表示し、データベースパスワードを傍受して直接使用することで、コネクタが後にサーバーを拒否して接続を閉じた場合でも直接認証できます。この問題はバージョン3.3.3、3.4.6、および3.5.3で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.