CVE-2026-107382

Nome do Software Vulnerável e Versões Afetadas MariaDB Connector/Node.js versões 3.3.0 até 3.5.3

Descrição Um problema de negação de serviço existe no caminho de validação de impressão digital (fingerprint) TLS de configuração zero. Quando o conector valida a identidade de um servidor via Authentication.validateFingerPrint, ele chama a função Ed25519PasswordAuth.hash(). Esta função referencia um identificador seed que não está no escopo, resultando em um ReferenceError síncrono. Como esse erro ocorre dentro do manipulador de dados do socket e não é capturado, ele dispara uma exceção não tratada que encerra o processo cliente do Node.js.

Isso pode ser desencadeado por um servidor legítimo, um servidor malicioso ou um invasor de rede que apresente um certificado autoassinado. A exploração requer um servidor MariaDB acessado via TCP, TLS habilitado (via ssl: true ou um objeto ssl onde rejectUnauthorized não seja falso), uma senha definida, nenhum ssl.ca configurado e o plugin de autenticação client ed25519 negociado.

Recomendações Atualize para a versão 3.5.4 ou posterior. Como solução temporária, forneça o certificado do servidor ao cliente usando ssl: { ca: ... } para habilitar a validação de certificado padrão. Como solução temporária, defina ssl: { rejectUnauthorized: false } para ativar o modo de confiança. Como solução temporária, utilize um plugin de autenticação diferente de client ed25519.