« Volver al listado

CVE-2026-107385

Estado: Pendiente de análisisAlta (7.4)—

MariaDB Connector/Node.js se utiliza para conectar aplicaciones desarrolladas en Node.js a bases de datos MariaDB y MySQL. En versiones anteriores a la 3.2.5, 3.3.4, 3.4.7 y 3.5.4, el escape del protocolo de texto siempre antepone una barra invertida a las comillas y no respeta el modo NO_BACKSLASH_ESCAPES de la sesión, incluido en Connection.escape().

Leer descripción completaMostrar menos

Cuando ese modo está habilitado, la barra invertida es un carácter ordinario, por lo que un valor de marcador de posición controlado por el atacante puede cerrar el literal de cadena SQL e inyectar SQL arbitrario con los privilegios de base de datos de la aplicación. La configuración vulnerable puede habilitarse en todo el servidor, mediante las opciones de inicialización del conector o con un SET sql_mode emitido por la aplicación; execute() y batch() utilizan protocolos binarios y no están afectados. Este problema está corregido en las versiones 3.2.5, 3.3.4, 3.4.7 y 3.5.4.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

SQL injection (CWE-89) en conector Node.js expuesto a red (AV:N) permite lectura de datos y manipulación de BD con privilegios de aplicación; ejecución de código SQL arbitrario confirmada.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementVulnerability ScanningRestrict Web-Based ContentRestrict File and Directory PermissionsRemote Data StorageNetwork Segmentation

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Mariadb — Mariadb Connector NodejsAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107385",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107385",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-09T11:45:07.704481Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.4,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "mariadb-corporation",
          "product": "mariadb-connector-nodejs",
          "versions": [
            {
              "status": "affected",
              "version": "< 3.2.5"
            },
            {
              "status": "affected",
              "version": ">= 3.3.0, < 3.3.4"
            },
            {
              "status": "affected",
              "version": ">= 3.4.0, < 3.4.7"
            },
            {
              "status": "affected",
              "version": ">= 3.5.0-rc.0, < 3.5.4"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T19:17:01.170",
  "references": [
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/6995c8cf8e51b2ad055de63dcaa4094eebbef5ce",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/7670d90949307e735c0ae148d80b3776478a599d",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/95886df9fa0cca991e2be339caa6c3979be61553",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/e5a9d732d9574177749488336319b73074072779",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.2.5",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.3.4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.4.7",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.5.4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mariadb-corporation/mariadb-connector-nodejs/security/advisories/GHSA-r3rv-jm3r-62q2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://hackerone.com/reports/3889197",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://jira.mariadb.org/browse/CONJS-368",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-89"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "MariaDB Connector/Node.js is used to connect applications developed on Node.js to MariaDB and MySQL databases. Prior to 3.2.5, 3.3.4, 3.4.7, and 3.5.4, text-protocol escaping always prefixes quotes with a backslash and does not honor the session's NO_BACKSLASH_ESCAPES mode, including in Connection.escape(). When that mode is enabled, the backslash is an ordinary character, so an attacker-controlled placeholder value can close the SQL string literal and inject arbitrary SQL with the application's database privileges. The vulnerable configuration may be enabled server-wide, through connector initialization options, or with an application-issued SET sql_mode; execute() and batch() use binary protocols and are not affected. This issue is fixed in versions 3.2.5, 3.3.4, 3.4.7, and 3.5.4."
    }
  ],
  "lastModified": "2026-10-09T12:17:08.390",
  "sourceIdentifier": "security-advisories@github.com"
}