Veille sécuritéBackend & données
P3Critique
ST_AsText peut écrire au-delà du tampon de sortie lors de la conversion de GeometryCollection profondément imbriquées. La faille est corrigée dans les versions 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 et 13.0.2 ; mettre à niveau vers la version corrigée de la branche utilisée.
MariaDB
IdentifiantCVE-2026-85746
GravitéCritique
Exploitationnon connue / non déterminée
Correctif10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, 13.0.2
Source : NVD — CVE-2026-85746
Analyse technique
La sérialisation WKT récursive ne tient pas correctement compte de l’espace déjà consommé ni de l’espace à réserver. Un attaquant distant disposant de faibles privilèges peut soumettre un objet GIS spécialement conçu.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16 à 17:17:51.167Z, soit pendant la période demandée ; la vulnérabilité est retenue comme nouvelle.
ImpactCorruption de mémoire et exécution de code potentielle, notamment dans le cadre d’une chaîne avec une autre vulnérabilité.
Versions affectéesÀ partir de 10.6.1 jusqu’aux correctifs indiqués pour les branches 10.6, 10.11, 11.4, 11.8, 12.3 et 13.0.
Version corrigée10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, 13.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
Publication2026-10-16T19:17:51.167+02:00
Mise à jour2026-10-16T20:19:16.007+02:00
Détection / vérification
Vérifier l’utilisation de ST_AsText pour sérialiser des GeometryCollection profondément imbriquées.
Action recommandée
Mettre à niveau MariaDB vers le correctif correspondant à la branche déployée.
Sources
Priorisation DFS : P3 · 1 source(s).