CVE-2026-107384
MariaDB Connector/Node.js: SQL injection through object keys in SET expansion (permitSetMultiParamEntries)
CVSS 3.1High
8.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.2.5, 3.3.4, 3.4.7, 3.5.4
Обновите MariaDB Connector/Node.js до версий 3.2.6, 3.3.5, 3.4.8 или 3.5.5. В качестве временной меры отключите флаг permitSetMultiParamEntries.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
SQL-инъекция через ключи объектов в MariaDB Connector/Node.js при активной опции permitSetMultiParamEntries.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При включенном параметре permitSetMultiParamEntries ключи переданного объекта раскрываются в блок SET SQL-запроса без экранирования через escapeId. Внедрение символа обратного апострофа (`) позволяет закрыть идентификатор и внедрить произвольный SQL.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированная модификация произвольных колонок таблиц и выполнение внедренных SQL-команд с привилегиями текущего пользователя базы данных.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
mariadb-corporationmariadb-connector-nodejs
>= 3.2.0➔Fix: 3.2.5
mariadb-corporationmariadb-connector-nodejs
>= 3.3.0➔Fix: 3.3.4
mariadb-corporationmariadb-connector-nodejs
>= 3.4.0➔Fix: 3.4.7
mariadb-corporationmariadb-connector-nodejs
>= 3.5.0-rc.0➔Fix: 3.5.4
——
>= 3.2.0➔Fix: 3.2.5
——
>= 3.3.0➔Fix: 3.3.4
——
>= 3.4.0➔Fix: 3.4.7
——
>= 3.5.0-rc.0➔Fix: 3.5.4
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (11)
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/security/advisories/GHSA-v6pj-gxxw-phfw
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/144b8f4ef29539a9fb4b75d972b9dcdac4088b4e
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/6743b2f4a89b074268b44c650170767f35e1fb5d
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/8eb450972ff0f3826d7d45c071a42240798bc826
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/commit/b9b04ec82a60b2caf2b0c038259ca9aff5d7014a
- hackerone.comhttps://hackerone.com/reports/3889198
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.2.5
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.3.4
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.4.7
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-nodejs/releases/tag/3.5.4
- jira.mariadb.orghttps://jira.mariadb.org/browse/CONJS-369
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-107384: MariaDB Connector/Node.js: SQL injection through object keys in SET expansion (permitSetMultiParamEntries). URL: https://cve.futuretools.ru/cve/CVE-2026-107384
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_107384,
title = {{CVE-2026-107384: MariaDB Connector/Node.js: SQL injection through object keys in SET expansion (permitSetMultiParamEntries)}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107384}},
note = {Оперативный инженерный анализ киберугроз}
}