CVE-2026-107384

MariaDB Connector/Node.js, Node.js üzerinde geliştirilen uygulamaları MariaDB ve MySQL veritabanlarına bağlamak için kullanılır. 3.2.0 ile 3.2.5, 3.3.4, 3.4.7 ve 3.5.4 sürümleri arasında, permitSetMultiParamEntries seçeneğini etkinleştiren uygulamalar, anahtarları escapeId tarafından işlenmeden bir SQL SET yan tümcesine genişletilen nesneleri iletebilir. Ters tırnak içeren saldırgan kontrollü bir anahtar, tırnak içine alınmış tanımlayıcıyı kapatabilir ve anahtarın geri kalanının SQL olarak yorumlanmasına neden olabilir. Bu durum, uygulamanın açmayı amaçlamadığı sütunların güncellenmesine yol açabilir ve veritabanı kullanıcısının yetkileriyle rastgele SQL eklenmesine neden olabilir. Seçenek varsayılan olarak devre dışıdır ve devre dışı olduğunda kullanılan serileştirilmiş nesne işleme süreci etkilenmemektedir. Bu sorun 3.2.5, 3.3.4, 3.4.7 ve 3.5.4 sürümlerinde düzeltilmiştir.