CVE-2026-47384
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
NocoDB przed wersją 2026.05.1 pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia kolumn na wstrzykiwanie SQL do punktu końcowego grupowania danych. Użytkownik może to osiągnąć, ustawiając tytuł kolumny na fragment SQL, co omija istniejącą listę dozwolonych kolumn.
Ocena ryzyka
Organizacja może być narażona na ataki SQL injection, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji. Wykorzystanie tej podatności może skutkować poważnymi konsekwencjami dla bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację NocoDB do wersji 2026.05.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników oraz monitorować logi w celu wykrycia potencjalnych prób wykorzystania tej luki.
Inne podatności w NocoDB
Zobacz wszystkie- CVE-2023-35843Wysokie
NocoDB w wersjach do 0.106.0 (lub 0.109.1) ma podatność na traversję ścieżki, która pozwala nieautoryzowanemu atakującemu na dostęp do dowolnych plików na serwerze poprzez manipulację parametrem ścieżki w trasie /download.
- CVE-2026-119715Średnie
NocoDB w wersjach przed 2026.08.0 zawiera podatność clickjacking, ponieważ nie wysyła nagłówków X-Frame-Options ani CSP frame-ancestors, co pozwala dowolnej domenie osadzić uwierzytelniony interfejs w ramce. Atakujący może nakładać złośliwą stronę na sesję zalogowanego użytkownika i wymuszać kliknięcia modyfikujące lub usuwające rekordy, zmieniające ustawienia udostępniania lub zapraszające współpracowników.
- CVE-2026-116123Niskie
W NocoDB do wersji 2026.07.0 funkcja validatePassword w pliku /auth/user/signup nie ogranicza w wystarczający sposób nadmiernej liczby prób uwierzytelnienia. Luka umożliwia zdalny atak o wysokiej złożoności, a producent opisuje to zachowanie jako zamierzone. Zgłoszenie GitHub zostało usunięte bez wyjaśnienia, a kontakt e-mailowy pozostał bez odpowiedzi.
- CVE-2026-116122Niskie
W NocoDB do wersji 2026.07.0 funkcja AuthService.validateUser w komponencie endpointu logowania, przy manipulacji argumentem salt, prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i jest oceniany jako trudny do wykorzystania. Producent usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt e-mailowy.
- CVE-2026-116121Niskie
W NocoDB do wersji 2026.08.0 nieokreślone przetwarzanie w pliku users.service.ts w komponencie rejestracji prowadzi do sytuacji wyścigu (race condition). Atak można przeprowadzić zdalnie, wymaga on wysokiego poziomu złożoności i jest oceniany jako trudny do wykorzystania. Producent usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt e-mailowy.
- CVE-2026-116120Średnie
W NocoDB do wersji 2026.07.0 funkcja UserRefreshToken.deleteAllUserToken w pliku /auth/user/signup, powiązana z komponentem PublicApiLimiterGuard, pozwala na niekontrolowane przydzielanie zasobów. Brak limitowania żądań na nieuwierzytelnionych endpointach rejestracji i resetowania hasła umożliwia zdalne wywołanie ataku o wysokiej złożoności. Producent uznaje obejście limitera za zamierzony projekt i usunął zgłoszenie bez wyjaśnienia.
- CVE-2026-116119Średnie
W NocoDB do wersji 2026.08.0 wykryto podatność w nieokreślonej części pliku users.service.ts w komponencie przepływu resetowania hasła. Manipulacja prowadzi do sytuacji wyścigu (race condition), którą można wykorzystać zdalnie. Producent usunął zgłoszenie z GitHuba bez wyjaśnienia i nie odpowiedział na kontakt w sprawie ujawnienia.
- CVE-2026-53931Średnie
NocoDB przed wersją 2026.05.1 miał podatność, która pozwalała na wykorzystanie punktu końcowego importu arkuszy kalkulacyjnych axiosRequestMake jako ogólnego proxy HTTP. Punkt ten był dostępny bez uwierzytelnienia, co umożliwiało nieautoryzowany dostęp.
- CVE-2026-53930Średnie
NocoDB przed wersją 2026.05.1 miał podatność w punkcie końcowym migracji bazowej, który akceptował URL dostarczony przez wywołującego bez wymuszania protokołu lub miejsca docelowego. To umożliwiało nadużycie schematu oraz badanie wewnętrznych adresów HTTP.
- CVE-2026-53929Średnie
NocoDB przed wersją 2026.05.1 pozwalał na przesyłanie załączników .html lub .svg, które były renderowane w przeglądarce zamiast wymuszać pobranie. Problem wynikał z niezgodności w sposobie obsługi nagłówków odpowiedzi, co prowadziło do automatycznego renderowania tych plików.
Oryginalny opis (angielski, źródło NVD)
NocoDB is software for building databases as spreadsheets. Prior to 2026.05.1, an authenticated user with column-create permission can inject SQL into the bulk groupBy endpoint by setting a column's title to a SQL fragment. The bulk groupBy path in group-by.ts builds three database-specific knex.raw() aggregations that interpolate the request's column_name directly into the SQL string. Column lookup in data-table.service.ts matches on both the sanitized column_name field and the free-text title, so a title containing a SQL fragment bypasses the public endpoint's existing column allowlist and reaches the query builder unescaped. This vulnerability is fixed in 2026.05.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS