CVE-2026-107384

MariaDB Connector/Node.js tətbiqlərin Node.js üzərində hazırlanmış proqramlarını MariaDB və MySQL verilənlər bazalarına bağlamaq üçün istifadə olunur. 3.2.0 versiyasından 3.2.5-ə qədər olan versiyalarda, həmçinin 3.3.4, 3.4.7 və 3.5.4 versiyalarında, permitSetMultiParamEntries funksiyasını aktivləşdirən tətbiqlər, açarları escapeId tərəfindən emal edilmədən SQL SET bəndinə daxil edilən obyektləri ötürə bilərlər. Hücumçu tərəfindən idarə olunan və geri dırnaq (backtick) işarəsi ehtiva edən açar, dırnaq arası identifikatoru bağlaya və açarın qalan hissəsinin SQL kimi şərh edilməsinə səbəb ola bilər. Bu, tətbiqin açıq etmək niyyətində olmadığı sütunların yenilənməsinə və verilənlər bazası istifadəçisinin imtiyazları ilə ixtiyari SQL sorğularının əlavə edilməsinə gətirib çıxara bilər. Seçim standart olaraq deaktivdir və deaktiv olduğu halda istifadə edilən seriyallaşdırılmış obyektlərin emalı bu problemdən təsirlənmir. Bu problem 3.2.5, 3.3.4, 3.4.7 və 3.5.4 versiyalarında düzəldilmişdir.