Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] MariaDB Server opravuje 3 zraniteľnosti

MariaDB Server verziami 10.6.27, 10.11.18, 11.4.12, 11.8.8 a 12.3.2 opravuje 3 zraniteľnosti, z toho 1 kritickú [1].

MariaDB Server - spustenie príkazov shellu (CVE-2026-49261)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnému ošetreniu názvu pripájaného uzla pri povolenom wsrep_notify_cmd v MariaDB Serveri umožnené spustiť ľubovoľné príkazy shellu. Používatelia, ktorí teraz nemôžu vykonať aktualizáciu, by mali zakázať wsrep_notify_cmd [1].

Zraniteľnosť sa nachádza v produkte:

  • MariaDB; >=10.6.1, <=10.6.26; >=10.11.1, <=10.11.17; >=11.4.1, <=11.4.11; >=11.8.1, <=11.8.7; =12.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-49261 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 2. 6. 2026.

MariaDB Server - spustenie príkazov shellu (CVE-2026-48165)
CVSS 8.0 (High)

Autentizovanému vzdialenému útočníkovi s vysokými oprávneniami je kvôli nedostatočnému ošetreniu globálnych systémových premenných wsrep_sst_receive_address a wsrep_sst_donor umožnené spustiť príkazy shellu s oprávneniami procesu mariadbd na pripájanom uzle Galera [2].

Zraniteľnosť sa nachádza v produkte:

  • MariaDB; >=10.6.1, <=10.6.26; >=10.11.1, <=10.11.17; >=11.4.1, <=11.4.11; >=11.8.1, <=11.8.7; =12.3.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-48165 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 2. 6. 2026.

MariaDB Server - spustenie príkazov shellu (CVE-2026-48163)
CVSS 8.0 (High)

Autentizovanému vzdialenému útočníkovi je kvôli nedostatočnému overeniu parametrov odovzdaných počas SST (State Snapshot Transfer) v MariaDB Galera Clusteri umožnené pri použití metódy rsync SST spustiť ľubovoľné príkazy shellu [3].

Zraniteľnosť sa nachádza v produkte:

  • MariaDB; >=10.6.1, <=10.6.26; >=10.11.1, <=10.11.17; >=11.4.1, <=11.4.11; >=11.8.1, <=11.8.7; =12.3.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-48163 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 2. 6. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 15. 6. 2026.

CESNET, z.s.p.o. Logo