CVE-2026-119210 in MariaDB Connector
Сводка
по VulDB • 29.10.2026
MariaDB Connector/J используется для подключения приложений, разработанных на Java, к базам данных MariaDB и MySQL. В версиях от 3.0.0 до 3.3.7, а также в 3.4.5 и 3.5.11 проверка `ClientMessage.validateLocalFileName()` использовала регулярное выражение, которое могло сопоставлять текст команды LOAD DATA LOCAL INFILE внутри кавычек (в идентификаторах, строковых литералах или комментариях), вместо того чтобы требовать наличия реальной SQL-команды. Злонамеренный или скомпрометированный сервер, либо атакующий типа «человек посередине» (man-in-the-middle) мог вернуть специально созданные идентификаторы баз данных или таблиц, которые драйвер повторно использовал в метаданных или запросах к обновляемым результатам, после чего отправлял запрос LOCAL INFILE для получения файла с клиента. При включенной опции `allowLocalInfile` это приводило к тому, что драйвер передавал по сети любой читаемый файл на хосте клиента, имя которого содержалось в специально созданном тексте, включая через пути DatabaseMetaData.getImportedKeys(), DatabaseMetaData.getExportedKeys() или ResultSet.updateRow(). Эта проблема исправлена в версиях 3.3.7, 3.4.5 и 3.5.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.