CVE-2026-34156
CriticalSummary
NocoBase to platforma no-code/low-code zasilana sztuczną inteligencją, która przed wersją 2.0.28 miała lukę w swoim węźle skryptów roboczych. Umożliwiała ona wykonanie dostarczonego przez użytkownika kodu JavaScript w sandboxie Node.js, co mogło prowadzić do zdalnego wykonania kodu jako root.
Risk Assessment
Atakujący, posiadając odpowiednie uprawnienia, mógłby wykorzystać tę lukę do ucieczki z sandboxa i uzyskania pełnej kontroli nad systemem. To stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Recommendation
Zaleca się aktualizację NocoBase do wersji 2.0.28 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji w celu zidentyfikowania innych potencjalnych luk.
Original NVD description (English source)
NocoBase is an AI-powered no-code/low-code platform for building business applications and enterprise solutions. Prior to version 2.0.28, NocoBase's Workflow Script Node executes user-supplied JavaScript inside a Node.js vm sandbox with a custom require allowlist (controlled by WORKFLOW_SCRIPT_MODULES env var). However, the console object passed into the sandbox context exposes host-realm WritableWorkerStdio stream objects via console._stdout and console._stderr. An authenticated attacker can traverse the prototype chain to escape the sandbox and achieve Remote Code Execution as root. This issue has been patched in version 2.0.28.