CVE-2026-49261

Gdy opcja `wsrep_notify_cmd` jest włączona, serwer MariaDB wykonuje skonfigurowane polecenie powłoki w celu powiadamiania o zdarzeniach klastra Galera. Podatność polega na tym, że nazwa węzła dołączającego do klastra (joiner node) jest wstawiana do wywołania powłoki bez odpowiedniego oczyszczenia. Atakujący może umieścić w nazwie węzła złośliwe polecenia powłoki, które zostaną wykonane przez serwer w momencie dołączenia węzła do klastra.

Atakujący może wykonać dowolne polecenia systemowe z uprawnieniami procesu serwera MariaDB, co w praktyce oznacza pełne przejęcie kontroli nad systemem — kradzież danych, instalację złośliwego oprogramowania oraz naruszenie poufności, integralności i dostępności środowiska.

Należy zaktualizować MariaDB do wersji: 10.6.27, 10.11.18, 11.4.12, 11.8.8 lub 12.3.2. Jako obejście tymczasowe, jeśli aktualizacja nie jest możliwa natychmiast, należy wyłączyć opcję `wsrep_notify_cmd` w konfiguracji serwera.

MariaDB Server w wersjach: 10.6.1–10.6.26, 10.11.1–10.11.17, 11.4.1–11.4.11, 11.8.1–11.8.7 oraz 12.3.1 — wyłącznie gdy włączona jest opcja `wsrep_notify_cmd`.

Podatność dotyczy wyłącznie instalacji korzystających z replikacji Galera Cluster z aktywną opcją `wsrep_notify_cmd`. Standardowe wdrożenia MariaDB bez tej opcji nie są podatne. Poprawka dostępna w oficjalnych wydaniach producenta; szczegóły w MDEV-39721 oraz GHSA-3p3m-4x7c-p4pw.