Heimdall Security Logo

CVE-2026-107383

Vulnérabilité élevée dans mariadb-connector-nodejs (mariadb-corporation)

CVSS 7.5 · Élevée
EPSS 0.4%
mariadb-corporation•mariadb-connector-nodejs•Versions : >= 3.3.0, < 3.3.4, >= 3.5.0-rc.0, < 3.5.4, < 3.2.5, >= 3.4.0, < 3.4.7

Description

MariaDB Connector/Node.js is used to connect applications developed on Node.js to MariaDB and MySQL databases. Prior to 3.2.5, 3.3.4, 3.4.7, and 3.5.4, the GeoJSON Polygon and MultiPolygon binary encoders size a Buffer.allocUnsafe() allocation from each ring's numeric length before confirming that the ring is an array. A malformed non-array ring can therefore reserve bytes that the writing loop skips, and the connector sends the full buffer through execute() or batch(), disclosing uninitialized Node.js heap data into a database value. The persisted data can include other users' content, session material, database credentials, or TLS key material and may propagate to backups and replicas. The text-protocol query() path is not affected. This issue is fixed in versions 3.2.5, 3.3.4, 3.4.7, and 3.5.4.

Gravité et risque d'exploitation

CVE-2026-107383 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.39 %, ce qui la place devant 31.4 % des CVE référencées.

Que faire ?

  • Vérifiez si mariadb-connector-nodejs (versions >= 3.3.0, < 3.3.4, >= 3.5.0-rc.0, < 3.5.4, < 3.2.5, >= 3.4.0, < 3.4.7) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE