CVE-2026-107385

Nome do Software Vulnerável e Versões Afetadas MariaDB Connector/Node.js versões anteriores a 3.2.5 MariaDB Connector/Node.js versões anteriores a 3.3.4 MariaDB Connector/Node.js versões anteriores a 3.4.7 MariaDB Connector/Node.js versões anteriores a 3.5.4

Description O escape do protocolo de texto não respeita o modo NO BACKSLASH ESCAPES da sessão, inclusive na função Connection.escape(). Neste modo, a barra invertida é tratada como um caractere comum em vez de um caractere de escape. Como o conector sempre prefixa as aspas com uma barra invertida, um valor de placeholder controlado por um invasor pode fechar prematuramente a literal de string SQL, permitindo a injeção de comandos SQL arbitrários com os privilégios de banco de dados da aplicação. Isso ocorre quando o NO BACKSLASH ESCAPES está habilitado em todo o servidor, por meio de opções de inicialização do conector ou através de um comando SET sql mode. As funções execute() e batch() não são afetadas, pois utilizam protocolos binários.

Recommendations Atualize para a versão 3.2.5 ou posterior. Atualize para a versão 3.3.4 ou posterior. Atualize para a versão 3.4.7 ou posterior. Atualize para a versão 3.5.4 ou posterior. Como solução temporária, utilize as funções execute() ou batch() em vez do escape de protocolo de texto. Como solução temporária, desabilite o modo NO BACKSLASH ESCAPES.