CVE-2026-107382 in Connector Node.js
Sumário
de VulDB • 08/10/2026
O MariaDB Connector/Node.js é utilizado para conectar aplicações desenvolvidas em Node.js aos bancos de dados MariaDB e MySQL. Da versão 3.3.0 até a 3.5.4, o caminho de validação da impressão digital TLS sem configuração (zero-configuration) chama `Ed25519PasswordAuth.hash()` através de `Authentication.validateFingerPrint`, mas `Ed25519PasswordAuth.hash()` referencia um identificador de seed que não está no escopo. A exploração requer um servidor MariaDB alcançado via TCP, TLS habilitado com `ssl: true` ou um objeto ssl cujo valor de `rejectUnauthorized` não seja false, uma senha definida, nenhuma configuração para `ssl.ca`, e a negociação do plugin de autenticação como `client_ed25519`. Sob essas condições, um servidor legítimo, um servidor malicioso ou um atacante na rede que apresente um certificado autoassinado pode alcançar esse caminho e causar um ReferenceError síncrono a escapar do manipulador de dados do socket. De acordo com o comportamento padrão do Node.js para exceções não tratadas (uncaught-exception), o processo cliente é encerrado, causando negação de serviço (DoS). Configurações que utilizam uma CA fornecida, `rejectUnauthorized: false`, outro plugin de autenticação ou um socket Unix não alcançam esse caminho vulnerável. Este problema foi corrigido na versão 3.5.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.