CVE-2026-86047 : injection SQL dans la sérialisation de sorties MariaDB

Veille sécuritéBackend & données

P3Élevée

La sérialisation SQL par SHOW CREATE SERVER, SHOW CREATE USER et mariadb-dump ne protège pas systématiquement les identifiants et valeurs. Des sorties contenant des objets conçus à cet effet peuvent injecter des instructions SQL lorsqu’elles sont réappliquées ; installer la version corrigée de la branche utilisée.

IdentifiantCVE-2026-86047

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, 13.0.2

Source : NVD — CVE-2026-86047

Analyse technique

Les sorties générées peuvent inclure des identifiants ou valeurs forgés par un attaquant ; l’exécution du SQL injecté intervient lorsque la sortie empoisonnée est appliquée.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-16 à 17:17:52.063Z, soit pendant la période demandée ; la vulnérabilité est retenue comme nouvelle.

ImpactExécution d’instructions SQL injectées lors de l’application d’une sortie ou d’un export forgé.

Versions affectéesÀ partir de 10.6.1 jusqu’aux correctifs indiqués pour les branches 10.6, 10.11, 11.4, 11.8, 12.3 et 13.0.

Version corrigée10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, 13.0.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.7

Publication2026-10-16T19:17:52.063+02:00

Mise à jour2026-10-16T20:09:12.750+02:00

Détection / vérification

Examiner les sorties SHOW CREATE SERVER, SHOW CREATE USER et les exports mariadb-dump avant leur réapplication.

Action recommandée

Mettre à niveau MariaDB vers le correctif correspondant à la branche utilisée et traiter avec prudence les sorties SQL générées avant leur réapplication.

Sources

NVD — CVE-2026-86047

Priorisation DFS : P3 · 1 source(s).