CVE-2026-44172
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 — wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność w serwerze MariaDB (fork MySQL) w wersjach 3.3.18 i 3.4.8 umożliwia ataki SQL injection pomimo użycia funkcji mysql_real_escape_string() z zestawem znaków big5. Problem został naprawiony w wersjach 3.3.19 i 3.4.9.
Ocena ryzyka
Organizacja używająca podatnych wersji MariaDB z zestawem znaków big5 i przetwarzająca niesprawdzone dane wejściowe przez mysql_real_escape_string() jest narażona na wstrzyknięcie SQL, co może prowadzić do wycieku lub modyfikacji danych.
Rekomendacja
Należy niezwłocznie zaktualizować serwer MariaDB do wersji 3.3.19 lub 3.4.9. Do czasu aktualizacji unikać używania zestawu znaków big5 z funkcją mysql_real_escape_string().
Oryginalny opis (angielski, źródło NVD)
MariaDB server is a community developed fork of MySQL server. In versions 3.3.18 and 3.4.8, an application that was taking non-validated user input, escaping it with mysql_real_escape_string() and sending it to the database using text protocol and big5 character set was vulnerable to SQL injections, even though mysql_real_escape_string() was supposed to prevent them. This issue has been patched in versions 3.3.19 and 3.4.9.