CVE-2026-52887
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wtyczka @nocobase/plugin-notification-in-app-message w NocoBase przed wersją 2.0.61 zawiera podatność na wstrzykiwanie SQL przez endpoint GET /api/myInAppChannels:list. Parametr filter[latestMsgReceiveTimestamp][$lt] jest bezpośrednio wstawiany do szablonu Sequelize.literal() bez odpowiedniego oczyszczania, co umożliwia uwierzytelnionemu użytkownikowi wykonanie złośliwych zapytań PostgreSQL, w tym potencjalnie poleceń systemowych przez COPY ... TO PROGRAM.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne zapytania SQL na bazie danych, a w skrajnym przypadku uruchomić polecenia systemowe na serwerze, co prowadzi do pełnej kompromitacji aplikacji i danych.
Rekomendacja
Niezwłocznie zaktualizuj NocoBase do wersji 2.0.61 lub nowszej. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do endpointu /api/myInAppChannels:list tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
NocoBase is an AI-powered no-code/low-code platform for building business applications and enterprise solutions. Prior to 2.0.61, NocoBase @nocobase/plugin-notification-in-app-message exposed GET /api/myInAppChannels:list, where the filter[latestMsgReceiveTimestamp][$lt] value was inserted into a Sequelize.literal() template string without escaping or parameter binding, allowing a signed-up authenticated user to run stacked PostgreSQL statements and potentially execute commands with COPY ... TO PROGRAM. This vulnerability is fixed in 2.0.61.