CVE-2026-119210 in MariaDB Connector
요약
\~에 의해 VulDB • 2026. 10. 29.
MariaDB Connector/J는 Java로 개발된 애플리케이션을 MariaDB 및 MySQL 데이터베이스에 연결하는 데 사용됩니다. 버전 3.0.0부터 3.3.7, 3.4.5 및 3.5.11까지의 경우, `ClientMessage.validateLocalFileName()` 체크에서 정규식을 사용하여 실제 문장을 요구하지 않고 인용된 식별자(string identifiers), 문자 리터럴 또는 주석 내부의 LOAD DATA LOCAL INFILE 텍스트와 일치할 수 있었습니다. 악성이거나 침해당한 서버, 또는 중간자 공격자는 연결 프로그램이 메타데이터나 업데이트 가능한 결과 쿼리에서 재사용하는 가공된 데이터베이스 또는 테이블 식별자를 반환한 후, 클라이언트 파일에 대한 LOCAL INFILE 요청으로 응답할 수 있습니다. `allowLocalInfile`가 활성화되어 있으면 이로 인해 연결 프로그램은 가공된 텍스트로 지정된 읽기 가능한 모든 호스트 파일을 스트림 처리하며, 여기에는 `DatabaseMetaData.getImportedKeys()`, `DatabaseMetaData.getExportedKeys()` 또는 `ResultSet.updateRow()` 경로도 포함됩니다. 이 문제는 버전 3.3.7, 3.4.5 및 3.5.11에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.