CVE-2026-119210 in MariaDB Connector
Sumário
de VulDB • 29/10/2026
O MariaDB Connector/J é utilizado para conectar aplicações desenvolvidas em Java a bancos de dados MariaDB e MySQL. Das versões 3.0.0 até as 3.3.7, 3.4.5 e 3.5.11, a verificação `ClientMessage.validateLocalFileName()` utilizava uma expressão regular que poderia corresponder ao texto "LOAD DATA LOCAL INFILE" dentro de identificadores entre aspas, literais de string ou comentários, em vez de exigir um comando real. Um servidor malicioso ou comprometido, ou um atacante com posição intermediária (man-in-the-middle), poderia retornar identificadores de banco de dados ou tabelas manipulados que o conector reutilizaria em metadados ou consultas atualizáveis (`updatable-result queries`), e então responderia com uma solicitação LOCAL INFILE para um arquivo do cliente. Com a opção `allowLocalInfile` habilitada, isso fazia com que o conector transmitisse (streaming) qualquer arquivo legível no host do cliente nomeado pelo texto manipulado, incluindo através dos caminhos DatabaseMetaData.getImportedKeys(), DatabaseMetaData.getExportedKeys() ou ResultSet.updateRow(). Este problema foi corrigido nas versões 3.3.7, 3.4.5 e 3.5.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.