CVE-2026-101785
Vulnerabilidad en MySQL Server, producto MySQL Cluster de Oracle MySQL (componente: Server: JSON). Las versiones compatibles afectadas son MySQL Server: 8.4.0-8.4.12, 9.7.0-9.7.3, 26.7.0-26.7.1; MySQL Cluster: 8.0.0-8.0.49, 8.4.0-8.4.12, 9.7.0-9.7.3 y 26.7.0-26.7.1. Una vulnerabilidad de fácil explotación permite a un atacante con privilegios bajos y acceso a la red a través de múltiples protocolos comprometer MySQL Server, MySQL Cluster.
Leer descripción completaMostrar menos
Los ataques exitosos contra esta vulnerabilidad pueden dar lugar a la creación, eliminación o modificación no autorizadas de datos críticos o de todos los datos accesibles de MySQL Server, MySQL Cluster, así como a la lectura no autorizada de un subconjunto de los datos accesibles de MySQL Server, MySQL Cluster y a la capacidad no autorizada de provocar un bloqueo o un fallo por cierre inesperado frecuentemente repetible (denegación de servicio completa, DoS) de MySQL Server, MySQL Cluster. Puntuación base CVSS 3.1 de 8,3 (impactos en confidencialidad, integridad y disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H).
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 8.3
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.33 %
- Percentil entre todas las CVEs puntuadas
- 25
- Fecha de la puntuación
- 24/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1210Exploitation of Remote Serviceslateral movement90 % - Impacto principal
T1565Data Manipulationimpact85 % - Impacto secundario
T1213Data from Information Repositoriescollection70 % - Impacto secundario
T1499Endpoint Denial of Serviceimpact80 %
Vector AV:N/PR:L/UI:N exige red con privilegios bajos (T1210); el texto cita modificación no autorizada de datos críticos, lectura parcial y caída o cuelgue del servidor.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (2)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-284
Referencias
Mostrar las 1 referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-101785",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-101785",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-22T17:02:21.394502Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "secalert_us@oracle.com",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 8.3,
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H",
"integrityImpact": "HIGH",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "HIGH",
"privilegesRequired": "LOW",
"confidentialityImpact": "LOW"
},
"impactScore": 5.5,
"exploitabilityScore": 2.8
}
]
},
"affected": [
{
"source": "secalert_us@oracle.com",
"affectedData": [
{
"vendor": "Oracle Corporation",
"product": "MySQL Server",
"versions": [
{
"status": "affected",
"version": "8.4.0-8.4.12"
},
{
"status": "affected",
"version": "9.7.0-9.7.3"
},
{
"status": "affected",
"version": "26.7.0-26.7.1"
}
]
},
{
"vendor": "Oracle Corporation",
"product": "MySQL Cluster",
"versions": [
{
"status": "affected",
"version": "8.0.0-8.0.49"
},
{
"status": "affected",
"version": "8.4.0-8.4.12"
},
{
"status": "affected",
"version": "9.7.0-9.7.3"
},
{
"status": "affected",
"version": "26.7.0-26.7.1"
}
]
}
]
}
],
"published": "2026-10-20T22:18:34.160",
"references": [
{
"url": "https://www.oracle.com/security-alerts/cpuoct2026.html",
"source": "secalert_us@oracle.com"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"description": [
{
"lang": "en",
"value": "CWE-284"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Vulnerability in the MySQL Server, MySQL Cluster product of Oracle MySQL (component: Server: JSON). Supported versions that are affected are MySQL Server: 8.4.0-8.4.12, 9.7.0-9.7.3, 26.7.0-26.7.1; MySQL Cluster: 8.0.0-8.0.49, 8.4.0-8.4.12, 9.7.0-9.7.3 and 26.7.0-26.7.1. Easily exploitable vulnerability allows low privileged attacker with network access via multiple protocols to compromise MySQL Server, MySQL Cluster. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all MySQL Server, MySQL Cluster accessible data as well as unauthorized read access to a subset of MySQL Server, MySQL Cluster accessible data and unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of MySQL Server, MySQL Cluster. CVSS 3.1 Base Score 8.3 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H)."
}
],
"lastModified": "2026-10-22T18:17:23.177",
"sourceIdentifier": "secalert_us@oracle.com"
}