MariaDB Connector/Node.js: SQL-Injection über Objektschlüssel in SET-Klausel

Zusammenfassung

MariaDB Connector/Node.js erstellt SET-Klauseln aus Objektschlüsseln, wenn die nicht standardmässig aktivierte Option permitSetMultiParamEntries eingeschaltet ist, escaped diese Schlüssel jedoch nicht als Bezeichner. Ein Angreifer, der einen Schlüssel kontrolliert, kann mit einem Backtick den Bezeichner schliessen und SQL einschleusen. Dadurch können Spalten aktualisiert werden, die die Anwendung nicht freigeben wollte, und beliebiger SQL-Code mit den Rechten des Datenbankbenutzers ausgeführt werden. Voraussetzung ist eine Anwendung, die diese Option aktiviert und vom Angreifer beeinflussbare Schlüssel übergibt.

Betroffen

• mariadb-connector-nodejs 3.2.0 bis vor 3.2.5
• mariadb-connector-nodejs 3.3.0 bis vor 3.3.4
• mariadb-connector-nodejs 3.4.0 bis vor 3.4.7
• mariadb-connector-nodejs 3.5.0-rc.0 bis vor 3.5.4
• Nur Anwendungen mit aktivierter Option permitSetMultiParamEntries (standardmässig deaktiviert)
• Versionen 2.x werden vom Hersteller nicht als betroffen aufgeführt; installierte Versionen prüfen

Behoben in

• Aktualisierung auf 3.2.5, 3.3.4, 3.4.7 oder 3.5.4 (oder neuer)

Umgehung

• permitSetMultiParamEntries deaktiviert lassen (Standardeinstellung)
• Code nach permitSetMultiParamEntries durchsuchen und die Option entfernen, wo sie nicht benötigt wird
• Sicherstellen, dass benutzerkontrollierte Schlüssel nicht in Objekte gelangen, die als Abfrageparameter übergeben werden

Ausnutzung

• Kein öffentlicher Proof of Concept bekannt
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• EPSS niedrig (0.00447)

Unsere Empfehlung

• Prüfen, ob eine Anwendung den mariadb- oder mysql-Connector für Node.js mit aktivierter Option permitSetMultiParamEntries verwendet
• Auf 3.2.5, 3.3.4, 3.4.7 oder 3.5.4 oder neuer aktualisieren
• Bis zur Korrektur die Option deaktivieren und sicherstellen, dass Benutzereingaben keine Objektschlüssel steuern können
• Datenbankkonten der Anwendungen mit minimalen Rechten betreiben
• Vor dem Schliessen des Tickets den CISA-KEV-Katalog prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v6pj-gxxw-phfw github.com
• Fix commit 144b8f4 (escapeId for object keys) github.com
• Release 3.2.5 github.com
• Release 3.3.4 github.com
• Release 3.4.7 github.com
• Release 3.5.4 github.com
• OSV entry BIT-mariadb-2026-107384 osv.dev
• Tracking ticket CONJS-369 jira.mariadb.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:31.