Heimdall Security Logo

CVE-2026-107385

Vulnérabilité élevée dans mariadb-connector-nodejs (mariadb-corporation)

CVSS 7.4 · Élevée
EPSS 0.4%
mariadb-corporation•mariadb-connector-nodejs•Versions : >= 3.3.0, < 3.3.4, >= 3.5.0-rc.0, < 3.5.4, < 3.2.5, >= 3.4.0, < 3.4.7

Description

MariaDB Connector/Node.js is used to connect applications developed on Node.js to MariaDB and MySQL databases. Prior to 3.2.5, 3.3.4, 3.4.7, and 3.5.4, text-protocol escaping always prefixes quotes with a backslash and does not honor the session's NO_BACKSLASH_ESCAPES mode, including in Connection.escape(). When that mode is enabled, the backslash is an ordinary character, so an attacker-controlled placeholder value can close the SQL string literal and inject arbitrary SQL with the application's database privileges. The vulnerable configuration may be enabled server-wide, through connector initialization options, or with an application-issued SET sql_mode; execute() and batch() use binary protocols and are not affected. This issue is fixed in versions 3.2.5, 3.3.4, 3.4.7, and 3.5.4.

Gravité et risque d'exploitation

CVE-2026-107385 obtient un score CVSS de 7.4/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.44 %, ce qui la place devant 36.7 % des CVE référencées.

Que faire ?

  • Vérifiez si mariadb-connector-nodejs (versions >= 3.3.0, < 3.3.4, >= 3.5.0-rc.0, < 3.5.4, < 3.2.5, >= 3.4.0, < 3.4.7) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE