CVE-2026-44169
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W wersjach MariaDB od 11.4.1 do przed 11.4.11, 11.8.1 do przed 11.8.7 oraz 12.3.1, użytkownik z dostępem EXECUTE do procedury składowanej mógł zobaczyć definicję tej procedury, nawet bez uprawnienia SHOW CREATE ROUTINE. Problem został naprawiony w wersjach 11.4.11, 11.8.7 i 12.3.2.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie wrażliwych informacji dotyczących procedur składowanych, co może prowadzić do nieautoryzowanego dostępu do logiki biznesowej aplikacji.
Rekomendacja
Zaleca się aktualizację do wersji 11.4.11, 11.8.7 lub 12.3.2, aby zabezpieczyć się przed tym problemem.
Inne podatności w MariaDB server
Zobacz wszystkie- CVE-2026-49261Krytyczne
Podatność w MariaDB Server umożliwia wykonanie dowolnych poleceń powłoki osadzonych w nazwie węzła dołączającego do klastra Galera, gdy opcja `wsrep_notify_cmd` jest włączona. Problem dotyczy wersji od 10.6.1 do 10.6.26, 10.11.1 do 10.11.17, 11.4.1 do 11.4.11, 11.8.1 do 11.8.7 oraz 12.3.1.
- CVE-2026-44171Średnie
Serwer MariaDB w wersjach od 10.6.1 do przed 10.6.26, 10.11.1 do przed 10.11.17, 11.4.1 do przed 11.4.11, 11.8.1 do przed 11.8.7 oraz 12.3.1 miał problem z brakiem weryfikacji ścieżek zawierających /../ podczas rozpakowywania archiwum. Specjalnie przygotowane archiwum mogło spowodować utworzenie plików poza docelowym katalogiem.
- CVE-2026-35549Średnie
W MariaDB Server przed wersjami 11.4.10, 11.5.x-11.8.x przed 11.8.6 oraz 12.x przed 12.2.2 stwierdzono podatność, w której duży pakiet może spowodować awarię serwera, jeśli zainstalowany jest plugin uwierzytelniania caching_sha2_password, a niektórzy użytkownicy są skonfigurowani do jego używania. Problem wynika z użycia alloca w funkcji sha256_crypt_r.
Oryginalny opis (angielski, źródło NVD)
MariaDB server is a community developed fork of MySQL server. From versions 11.4.1 to before 11.4.11, 11.8.1 to before 11.8.7, and 12.3.1, a user getting EXECUTE access to a stored routine via a role, could see the routine definition even without SHOW CREATE ROUTINE privilege. This issue has been patched in versions 11.4.11, 11.8.7, and 12.3.2.