CVE-2026-55860 in MariaDB Connector
要約
〜によって VulDB • 2026年08月29日
MariaDB Connector/R2DBCは、Javaで実装されたノンブロッキングのMariaDBおよびMySQLクライアントです。バージョン1.4.1より前では、org.mariadb:r2dbc-mariadbにおいて、AuthenticationPluginインターフェースにプラグインが安全な接続を要求する機能がないため、クリアテキストパスワード認証プラグインはトランスポート暗号化によって制限されていません。攻撃者または中間者のMariaDBサーバーは、平文TCPの非暗号化接続上でmysql_clear_passwordやdialog (PAM) を指定したAuthSwitchRequestを送信でき、AuthenticationFlowによりClearPasswordPluginFlowまたはPamPluginFlowがユーザーのパスワードをクリアテキストバイトとしてネットワーク上に送信することが許可されます。開示された認証情報はその後、データベースサーバーに対して直接認証を行うために使用される可能性があります。この問題はバージョン1.4.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.