« Volver al listado

CVE-2026-107382

Estado: Pendiente de análisisMedia (5.9)—

MariaDB Connector/Node.js se utiliza para conectar aplicaciones desarrolladas en Node.js a bases de datos MariaDB y MySQL. Desde la 3.3.0 hasta la 3.5.4, la ruta de validación de la huella TLS sin configuración llama a Ed25519PasswordAuth.hash() a través de Authentication.validateFingerPrint, pero Ed25519PasswordAuth.hash() hace referencia a un identificador seed que no está en el ámbito.

Leer descripción completaMostrar menos

La exposición requiere un servidor MariaDB al que se acceda por TCP, TLS habilitado con ssl: true o un objeto ssl cuyo valor rejectUnauthorized no sea false, una contraseña establecida, ningún ssl.ca configurado y client_ed25519 negociado como plugin de autenticación. En esas condiciones, un servidor legítimo, un servidor malicioso o un atacante de red que presente un certificado autofirmado puede alcanzar esta ruta y hacer que un ReferenceError síncrono escape del manejador de datos del socket. Con el comportamiento predeterminado de Node.js ante excepciones no capturadas, el proceso cliente termina, provocando una denegación de servicio. Las configuraciones que utilizan una CA proporcionada, rejectUnauthorized: false, otro plugin de autenticación o un socket Unix no alcanzan esta ruta vulnerable. Este problema está corregido en la versión 3.5.4.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Aplicación Node.js expuesta en red (AV:N, AC:H) vulnerable a DoS por ReferenceError no capturado en handler TLS, sin requerir autenticación previa (PR:N). Cierre de proceso = negación de servicio.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Mariadb — Connector NodejsAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107382",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107382",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T18:42:22.310382Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.9,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "mariadb-corporation",
          "product": "mariadb-connector-nodejs",
          "versions": [
            {
              "status": "affected",
              "version": ">= 3.3.0, < 3.5.4"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T19:17:00.590",
  "references": [
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/784ca3d757194a05f202d84b0c762321e76a7915",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.5.4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/security/advisories/GHSA-cx2f-j9fh-8g68",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://hackerone.com/reports/3835450",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://jira.mariadb.org/browse/CONJS-356",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-248"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "MariaDB Connector/Node.js is used to connect applications developed on Node.js to MariaDB and MySQL databases. From 3.3.0 until 3.5.4, the zero-configuration TLS fingerprint-validation path calls Ed25519PasswordAuth.hash() through Authentication.validateFingerPrint, but Ed25519PasswordAuth.hash() references a seed identifier that is not in scope. Exposure requires a MariaDB server reached over TCP, TLS enabled with ssl: true or an ssl object whose rejectUnauthorized value is not false, a password set, no ssl.ca configured, and client_ed25519 negotiated as the authentication plugin. Under those conditions, a legitimate server, malicious server, or network attacker presenting a self-signed certificate can reach this path and cause a synchronous ReferenceError to escape the socket data handler. Under Node.js default uncaught-exception behavior, the client process terminates, causing denial of service. Configurations using a provided CA, rejectUnauthorized: false, another authentication plugin, or a Unix socket do not reach this vulnerable path. This issue is fixed in version 3.5.4."
    }
  ],
  "lastModified": "2026-10-08T20:25:00.647",
  "sourceIdentifier": "security-advisories@github.com"
}