CVE-2026-55854 in Connector
Sumário
de VulDB • 29/08/2026
O MariaDB Connector/Node.js é utilizado para conectar aplicações desenvolvidas em Node.js a bancos de dados MariaDB e MySQL. Antes das versões 3.2.4, 3.3.3, 3.4.6 e 3.5.3, o MariaDB Connector/Node.js pode vazar a senha da conta quando a autenticação via diálogo PAM é negociada sobre um transporte inseguro. Nos arquivos lib/cmd/handshake/auth/pam-password-auth.js e lib/cmd/handshake/authentication.js, o comportamento do SendPamAuthPacketFactory para o diálogo de plugin no lado do servidor não aplicava a verificação de transporte seguro (secure-transport gate) utilizada pelo mysql_clear_password. Com as configurações padrão sslMode=DISABLE e restrictedAuth=null, um servidor malicioso ou em posição intermediária na rede (on-path) pode enviar uma Solicitação de Mudança de Autenticação para o diálogo sobre TCP puro, fazendo com que o conector retorne a senha da conta em texto claro. O uso correto do TLS verificado e um soquete Unix local impedem essa vulnerabilidade, enquanto a validação da identidade do servidor baseada apenas no fingerprint não é suficiente. Este problema foi corrigido nas versões 3.2.4, 3.3.3, 3.4.6 e 3.5.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.