GHSA-3f6p-5ww8-9rcr

Wysokie

Opublikowano: —Przetłumaczono: 14/09/2026(UTC)NVD NIST

Streszczenie

Złośliwy serwer MySQL (lub atak typu man-in-the-middle) może wymusić na mysql2 wysłanie poświadczeń w postaci jawnego tekstu, żądając przełączenia uwierzytelniania na mysql_clear_password. Sterownik spełnia żądanie bez weryfikacji, czy połączenie korzysta z TLS.

Ocena ryzyka

Przechwycenie poświadczeń bazy danych przez atakującego w sieci, co może prowadzić do nieautoryzowanego dostępu do danych.

Rekomendacja

Zaktualizuj sterownik mysql2 do wersji z poprawką i upewnij się, że połączenia z bazą danych zawsze korzystają z TLS z weryfikacją certyfikatu.

Inne podatności w mysql2

GHSA-rgwj-5xj2-c3m3Średnie
Podatność w mysql2 (w pliku lib/compressed_protocol.js, linia 43), gdzie zlib.inflate jest używany do dekompresji pakietów. Gdy połączenie jest ustawione z compress: true i serwer obsługuje CLIENT_COMPRESS, każdy przychodzący pakiet jest dekompresowany bez ograniczeń, co może prowadzić do nadmiernego użycia pamięci lub DoS.

Oryginalny opis (angielski, źródło NVD)

## Summary A rogue MySQL server (or MITM) can force mysql2 to send credentials in **plaintext** by requesting an auth switch to `mysql_clear_password`. The driver complies without verifying that TLS is active. ## Details `mysql_clear_password` is registered as a default standard plugin in `lib/co