[TLP:CLEAR] MariaDB Server opravuje 3 zranitelnosti
MariaDB Server verzemi 10.6.27, 10.11.18, 11.4.12, 11.8.8 a 12.3.2 opravuje 3 zranitelnosti, z toho 1 kritickou [1].
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečnému ošetření názvu připojovaného uzlu při povoleném wsrep_notify_cmd v MariaDB Serveru umožněno spustit libovolné příkazy shellu. Uživatelé, kteří nemohou nyní provést aktualizaci, by měli zakázat wsrep_notify_cmd [1].
Zranitelnost se nachází v produktu MariaDB ve verzích (>=10.6.1 AND <=10.6.26) OR (>=10.11.1 AND <=10.11.17) OR (>=11.4.1 AND <=11.4.11) OR (>=11.8.1 AND <=11.8.7) OR (=12.3.1).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2026-49261 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 2. 6. 2026.
Autentizovanému vzdálenému útočníkovi s vysokými oprávněními je kvůli nedostatečnému ošetření globálních systémových proměnných wsrep_sst_receive_address a wsrep_sst_donor umožněno spustit příkazy shellu s oprávněními procesu mariadbd na připojovaném uzlu Galera [2].
Zranitelnost se nachází v produktu MariaDB ve verzích (>=10.6.1 AND <=10.6.26) OR (>=10.11.1 AND <=10.11.17) OR (>=11.4.1 AND <=11.4.11) OR (>=11.8.1 AND <=11.8.7) OR (=12.3.1).
CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2026-48165 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 2. 6. 2026.
Autentizovanému vzdálenému útočníkovi je kvůli nedostatečnému ověření parametrů předaných během SST (State Snapshot Transfer) v MariaDB Galera Clusteru umožněno při použití metody rsync SST spustit libovolné příkazy shellu [3].
Zranitelnost se nachází v produktu MariaDB ve verzích (>=10.6.1 AND <=10.6.26) OR (>=10.11.1 AND <=10.11.17) OR (>=11.4.1 AND <=11.4.11) OR (>=11.8.1 AND <=11.8.7) OR (=12.3.1).
CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2026-48163 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 2. 6. 2026.
Odkazy
Za CESNET-CERTS Michaela Jarošová dne 16. 6. 2026.
