CVE-2026-85746

W MariaDB w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 instrukcja GRANT PROXY traktuje klauzulę IDENTIFIED z pustym hasłem tak, jakby uwierzytelnianie nie zostało podane, sprawdzając niewłaściwe uprawnienia grantora. Nisko uprzywilejowany atakujący mogący wskazać inne konto może ustawić jego hasło.

W MariaDB polecenia SHOW CREATE SERVER, SHOW CREATE USER oraz mariadb-dump nie cytują spójnie identyfikatorów i wartości podczas serializacji SQL. Niskouprzywilejowany atakujący może utworzyć obiekt ze spreparowanymi identyfikatorami lub wartościami, a następnie doprowadzić do wykonania wstrzykniętego SQL, gdy zatrute dane wyjściowe zostaną zastosowane.

W MariaDB od wersji 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 funkcje UDF dostępu do plików wtyczki silnika CONNECT (json_file(), bson_file(), jfile_make(), bfile_make(), jbin_file()) nie egzekwują uprawnienia FILE ani ustawienia secure_file_priv. Niskouprzywilejowany atakujący może wywołać taką funkcję ze ścieżką systemu plików i odczytać lub zapisać pliki, do których konto bazy danych nie ma uprawnień.

W MariaDB od wersji 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 funkcja ST_Area odczytuje dane poza przydzielonym buforem podczas przetwarzania nieprawidłowego WKB dla MultiPolygon, ponieważ parser przechodzi po nagłówku zagnieżdżonej geometrii bez weryfikacji pozostałego wejścia. Niskouprzywilejowany zdalny atakujący może dostarczyć złośliwe dane przestrzenne, aby ujawnić pamięć przydatną do obejścia ASLR.

W serwerze MariaDB prefiks #mysql50# pozwala obejść normalne kodowanie nazw tabel w systemie plików. Atakujący może użyć nazwy tabeli z prefiksem #mysql50#, aby uzyskać dostęp do plików pod ich starszą, niezakodowaną nazwą, co może powodować awarie, uszkodzenie danych, eksfiltrację danych lub zdalne wykonanie kodu. Problem dotyczy wersji od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2.

W serwerze MariaDB obsługa SYS_REFCURSOR jest podatna na problem, ponieważ realokacja tablicy kursorów może pozostawić nieaktualne referencje w kontekstach procedur. Atakujący z niskimi uprawnieniami może otworzyć dużą liczbę SYS_REFCURSOR, a następnie pobrać jeden z nich, wywołując use-after-free, co w połączeniu z inną podatnością może umożliwić zdalne wykonanie kodu. Problem dotyczy wersji od 12.3.1 do 12.3.3 i 13.0.2.

Podatność w MariaDB (wersje 3.3.18 i 3.4.8) umożliwiająca wstrzyknięcie SQL pomimo użycia mysql_real_escape_string() z zestawem znaków big5. Naprawione w wersjach 3.3.19 i 3.4.9.

Podatność w MariaDB na Windows z zainstalowanym silnikiem CONNECT i włączoną obsługą REST pozwala na wstrzyknięcie atrybutu HTTP tabeli do linii poleceń curl bez odpowiedniego oczyszczania. Umożliwia to użytkownikowi wykonanie dowolnych poleceń systemowych na serwerze.

MariaDB od wersji 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2, parser FRM widoków niebezpiecznie kodował znaki nowej linii w nazwie użytkownika. Konto z uprawnieniami CREATE USER i CREATE VIEW WITH GRANT OPTION mogło utworzyć spreparowaną nazwę użytkownika zawierającą dodatkowe metadane widoku, co mogło prowadzić do eskalacji uprawnień.

MariaDB, serwer baz danych, w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2, ma podatność w pamięci podręcznej ACL, która może generować ten sam klucz pamięci podręcznej uprawnień bazy danych dla nazw ról i użytkowników localhost, które pasowały, ponieważ oba używały pustego składnika IP. Atakujący z uprawnieniem CREATE USER może utworzyć kolidujący podmiot i, gdy uprawnienia bazy danych oryginalnego podmiotu były w pamięci podręcznej, wykonywać uprawnienia przypisane do innego konta. Problem został naprawiony w wersjach 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2.