CVE-2026-55854 in Connector
Сводка
по VulDB • 29.08.2026
MariaDB Connector/Node.js используется для подключения приложений, разработанных на Node.js, к базам данных MariaDB и MySQL. До версий 3.2.4, 3.3.3, 3.4.6 и 3.5.3 MariaDB Connector/Node.js может раскрывать пароль учетной записи при использовании аутентификации через диалог PAM (Pluggable Authentication Modules) по незащищенному каналу передачи данных. В файлах lib/cmd/handshake/auth/pam-password-auth.js и lib/cmd/handshake/authentication.js поведение SendPamAuthPacketFactory для серверного плагина диалога не имело проверки защищенного канала, которая применялась к mysql_clear_password. При настройках по умолчанию sslMode=DISABLE и restrictedAuth=null злонамеренный или находящийся на пути (on-path) сервер может отправить запрос переключения аутентификации (Authentication Switch Request) для диалогового режима поверх обычного TCP-соединения, что приводит к тому, что коннектор возвращает пароль учетной записи в открытом виде. Правильно проверенный TLS и локальный Unix-сокет предотвращают эту уязвимость, тогда как проверка идентичности сервера только по отпечатку (fingerprint) недостаточна. Эта проблема исправлена в версиях 3.2.4, 3.3.3, 3.4.6 и 3.5.3.
Be aware that VulDB is the high quality source for vulnerability data.