CVE-2026-47377
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
NocoDB przed wersją 2026.04.1 zawierał podatność w wtyczce hashRedirect, która umożliwiała przekierowanie użytkowników na złośliwe strony. Przekierowanie następowało po sprawdzeniu, czy ścieżka zaczyna się od '/', co pozwalało na wykorzystanie URL-i względnych protokołu.
Ocena ryzyka
Organizacje mogły być narażone na ataki phishingowe oraz inne formy oszustw, gdyż użytkownicy mogli być nieświadomie przekierowywani na złośliwe strony kontrolowane przez atakujących.
Rekomendacja
Zaleca się aktualizację NocoDB do wersji 2026.04.1 lub nowszej, aby usunąć tę podatność i zabezpieczyć użytkowników przed nieautoryzowanymi przekierowaniami.
Inne podatności w NocoDB
Zobacz wszystkie- CVE-2023-35843Wysokie
NocoDB w wersjach do 0.106.0 (lub 0.109.1) ma podatność na traversję ścieżki, która pozwala nieautoryzowanemu atakującemu na dostęp do dowolnych plików na serwerze poprzez manipulację parametrem ścieżki w trasie /download.
- CVE-2026-53931Średnie
NocoDB przed wersją 2026.05.1 miał podatność, która pozwalała na wykorzystanie punktu końcowego importu arkuszy kalkulacyjnych axiosRequestMake jako ogólnego proxy HTTP. Punkt ten był dostępny bez uwierzytelnienia, co umożliwiało nieautoryzowany dostęp.
- CVE-2026-53930Średnie
NocoDB przed wersją 2026.05.1 miał podatność w punkcie końcowym migracji bazowej, który akceptował URL dostarczony przez wywołującego bez wymuszania protokołu lub miejsca docelowego. To umożliwiało nadużycie schematu oraz badanie wewnętrznych adresów HTTP.
- CVE-2026-53929Średnie
NocoDB przed wersją 2026.05.1 pozwalał na przesyłanie załączników .html lub .svg, które były renderowane w przeglądarce zamiast wymuszać pobranie. Problem wynikał z niezgodności w sposobie obsługi nagłówków odpowiedzi, co prowadziło do automatycznego renderowania tych plików.
- CVE-2026-53928Średnie
NocoDB przed wersją 2026.05.1 miał podatność, w której skradziony token odświeżania mógł być użyty do generowania nowych JWT nawet po zresetowaniu hasła przez użytkownika. Proces zapomnienia hasła nie usuwał wszystkich tokenów odświeżania, co umożliwiało atakującemu wymianę skradzionego tokena na nowy token dostępu.
- CVE-2026-53927Średnie
NocoDB przed wersją 2026.05.1 miał podatność w punkcie końcowym spreadsheet-fetch (axiosRequestMake), który akceptował URL-e z dozwoloną rozszerzeniem w dowolnym miejscu w ciągu. Umożliwiało to dostęp do punktu końcowego cloud-metadata za pomocą spreparowanego URL-a.
- CVE-2026-53926Średnie
NocoDB przed wersją 2026.05.1 zawierał lukę w usłudze użytkowników, gdzie funkcja revokeAllOAuthTokensByUser była pustym stubem. W wyniku tego, tokeny OAuth nie były unieważniane po zmianie, zresetowaniu lub odzyskaniu hasła przez użytkownika.
- CVE-2026-47388Niskie
Podatność w NocoDB przed wersją 2026.05.1 umożliwiała posiadaczowi tokena MCP o niskich uprawnieniach, znającemu ścieżkę do załącznika, odczyt dowolnego pliku w udostępnionym magazynie, w tym załączników należących do innych baz i obszarów roboczych. Problem wynikał z braku weryfikacji własności pliku przez narzędzie readAttachment.
- CVE-2026-47386Średnie
NocoDB przed wersją 2026.05.1 miał podatność, która pozwalała na jednoczesne wykorzystanie tego samego kodu autoryzacji OAuth do wygenerowania dwóch różnych par tokenów (access_token, refresh_token). To naruszało zasadę jednorazowego użycia, na której opiera się PKCE.
- CVE-2026-47385Średnie
NocoDB przed wersją 2026.05.1 pozwalał uwierzytelnionym użytkownikom z uprawnieniami do tworzenia baz na dołączenie źródła SQLite wskazującego na dowolny plik na hoście NocoDB, w tym wewnętrzne bazy danych NocoDB. Użytkownicy mogli wskazać plik noco.db lub inne bazy danych, co umożliwiało odczyt lub nadpisanie ich zawartości.
Oryginalny opis (angielski, źródło NVD)
NocoDB is software for building databases as spreadsheets. Prior to 2026.04.1, the client-side hashRedirect plugin called window.location.replace() on a path extracted from the URL hash fragment after only checking hashPath.startsWith('/'). Protocol-relative URLs (//attacker.com/…) also satisfy that check, so a crafted link silently redirected visitors to an attacker-controlled origin. This vulnerability is fixed in 2026.04.1.