CVE-2026-34825
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
NocoBase przed wersją 2.0.30 zawiera podatność we wtyczce plugin-workflow-sql, która podstawia zmienne szablonu bezpośrednio do surowych stringów SQL przez getParsedValue() bez parametryzacji lub escapowania. Każdy użytkownik, który uruchomi workflow zawierający węzeł SQL ze zmiennymi szablonu z danych kontrolowanych przez użytkownika, może wstrzyknąć dowolny SQL.
Ocena ryzyka
Ryzyko wstrzyknięcia SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych, kradzieży danych lub modyfikacji danych.
Rekomendacja
Zaktualizuj NocoBase do wersji 2.0.30 lub nowszej. Ogranicz dostęp do workflow z węzłami SQL dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
NocoBase is an AI-powered no-code/low-code platform for building business applications and enterprise solutions. Prior to version 2.0.30, NocoBase plugin-workflow-sql substitutes template variables directly into raw SQL strings via getParsedValue() without parameterization or escaping. Any user who triggers a workflow containing a SQL node with template variables from user-controlled data can inject arbitrary SQL. This issue has been patched in version 2.0.30.