CVE-2026-55215 in MariaDB Connector Node.js
Sumário
de VulDB • 29/08/2026
O MariaDB Connector/Node.js é utilizado para conectar aplicações desenvolvidas em Node.js a bancos de dados MariaDB e MySQL. Antes das versões 3.3.3, 3.4.6 e 3.5.3, quando o SSL está habilitado sem um CA (Autoridade Certificadora) fixo ou certificado do servidor, o MariaDB Connector/Node.js envia as credenciais antes de concluir a validação da impressão digital do certificado. Em lib/cmd/handshake/auth/handshake.js, um servidor que seleciona mysql_clear_password como plugin de autenticação inicial pode receber a senha antes da verificação pós-TLS da identidade. Em lib/cmd/handshake/authentication.js, uma troca de autenticação pode avaliar o plugin anterior em vez do plugin alvo solicitado, permitindo que mysql_clear_password envie as credenciais primeiro. Um atacante man-in-the-middle ativo pode apresentar um certificado autoassinado, capturar a senha do banco de dados e usá-la para autenticar diretamente, mesmo que o conector rejeite posteriormente o servidor e feche a conexão. Este problema foi corrigido nas versões 3.3.3, 3.4.6 e 3.5.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.