CVE-2026-55860
MariaDB Connector/R2DBC: Cleartext password disclosure to a man-in-the-middle server (clear-text auth plugins not gated on a secure transport)
CVSS 3.1Medium
5.9/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.4.1
Обновите зависимость org.mariadb:r2dbc-mariadb до версии 1.4.1 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
MariaDB Connector/R2DBC передает пароль открытым текстом при согласовании аутентификации через незащищенное TCP-соединение.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Интерфейс AuthenticationPlugin в пакете org.mariadb:r2dbc-mariadb не требует обязательного TLS-шифрования. При получении команды AuthSwitchRequest для плагинов mysql_clear_password или dialog (PAM) клиент отправляет пароль в незашифрованном виде.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Перехват учетных данных пользователя открытым текстом в ходе MitM-атаки с последующей прямой компрометацией базы данных.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
mariadb-corporationmariadb-connector-r2dbc
все ранние➔Fix: 1.4.1
org.mariadbr2dbc-mariadb
все ранние➔Fix: 1.4.1
——
>= 0➔Fix: 1.4.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-r2dbc/security/advisories/GHSA-c857-9x2m-cvh2
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-r2dbc/commit/be786603ec5530414996d2396157013e095b320a
- hackerone.comhttps://hackerone.com/reports/3784556
- github.comhttps://github.com/mariadb-corporation/mariadb-connector-r2dbc/releases/tag/1.4.1
- jira.mariadb.orghttps://jira.mariadb.org/browse/R2DBC-115
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-55860: MariaDB Connector/R2DBC: Cleartext password disclosure to a man-in-the-middle server (clear-text auth plugins not gated on a secure transport). URL: https://cve.futuretools.ru/cve/CVE-2026-55860
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_55860,
title = {{CVE-2026-55860: MariaDB Connector/R2DBC: Cleartext password disclosure to a man-in-the-middle server (clear-text auth plugins not gated on a secure transport)}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-55860}},
note = {Оперативный инженерный анализ киберугроз}
}