Katalog podatności CVE

NocoDB przed wersją 2026.05.1 pozwalał na przesyłanie załączników .html lub .svg, które były renderowane w przeglądarce zamiast wymuszać pobranie. Problem wynikał z niezgodności w sposobie obsługi nagłówków odpowiedzi, co prowadziło do automatycznego renderowania tych plików.

NocoDB przed wersją 2026.05.1 miał podatność, w której skradziony token odświeżania mógł być użyty do generowania nowych JWT nawet po zresetowaniu hasła przez użytkownika. Proces zapomnienia hasła nie usuwał wszystkich tokenów odświeżania, co umożliwiało atakującemu wymianę skradzionego tokena na nowy token dostępu.

NocoDB przed wersją 2026.05.1 miał podatność w punkcie końcowym spreadsheet-fetch (axiosRequestMake), który akceptował URL-e z dozwoloną rozszerzeniem w dowolnym miejscu w ciągu. Umożliwiało to dostęp do punktu końcowego cloud-metadata za pomocą spreparowanego URL-a.

NocoDB przed wersją 2026.05.1 zawierał lukę w usłudze użytkowników, gdzie funkcja revokeAllOAuthTokensByUser była pustym stubem. W wyniku tego, tokeny OAuth nie były unieważniane po zmianie, zresetowaniu lub odzyskaniu hasła przez użytkownika.

NocoDB przed wersją 2026.05.1 miał podatność, która pozwalała na jednoczesne wykorzystanie tego samego kodu autoryzacji OAuth do wygenerowania dwóch różnych par tokenów (access_token, refresh_token). To naruszało zasadę jednorazowego użycia, na której opiera się PKCE.

NocoDB przed wersją 2026.05.1 pozwalał uwierzytelnionym użytkownikom z uprawnieniami do tworzenia baz na dołączenie źródła SQLite wskazującego na dowolny plik na hoście NocoDB, w tym wewnętrzne bazy danych NocoDB. Użytkownicy mogli wskazać plik noco.db lub inne bazy danych, co umożliwiało odczyt lub nadpisanie ich zawartości.

NocoDB przed wersją 2026.05.1 pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia kolumn na wstrzykiwanie SQL do punktu końcowego grupowania danych. Użytkownik może to osiągnąć, ustawiając tytuł kolumny na fragment SQL, co omija istniejącą listę dozwolonych kolumn.

NocoDB przed wersją 2026.05.1 miał podatność, która pozwalała na otwarcie surowego gniazda TCP do hosta bazy danych dostarczonego przez użytkownika bez weryfikacji adresu docelowego. To umożliwiało dostęp do prywatnych i lokalnych adresów, w tym do localhost.

NocoDB przed wersją 2026.05.1 pozwalał użytkownikom w jednym obszarze roboczym na uzyskanie dostępu do integracji innego obszaru roboczego poprzez punkt końcowy testConnection, podając jego identyfikator. Problem wynikał z błędnej weryfikacji uprawnień, co umożliwiało nieautoryzowany dostęp.

NocoDB przed wersją 2026.04.1 miał problem z różnym czasem odpowiedzi podczas logowania w zależności od tego, czy adres e-mail był znany, czy nie. W przypadku nieznanego użytkownika odpowiedź była zwracana bez porównania hasła, co stwarzało lukę bezpieczeństwa.

NocoDB przed wersją 2026.05.1 miał problem z weryfikacją haseł w trybie shared-view, co prowadziło do wycieku długości hasła oraz prefiksu znakowego przez czas odpowiedzi. Ta podatność została naprawiona w wersji 2026.05.1.

NocoDB przed wersją 2026.04.1 miał podatność, która umożliwiała ujawnienie wartości z ukrytych kolumn w publicznych punktach widokowych. Użytkownicy mogli uzyskać dostęp do tych wartości poprzez różne ścieżki, takie jak grupowanie, filtrowanie i sortowanie.

NocoDB przed wersją 2026.04.1 zawierał podatność w wtyczce hashRedirect, która umożliwiała przekierowanie użytkowników na złośliwe strony. Przekierowanie następowało po sprawdzeniu, czy ścieżka zaczyna się od '/', co pozwalało na wykorzystanie URL-i względnych protokołu.

NocoDB przed wersją 2026.04.1 miał podatność w stronie resetowania hasła, która renderowała token URL bezpośrednio w literałach ciągów JavaScript. Odpowiednio skonstruowany token mógł przełamać kontekst ciągu JS i wykonać skrypt kontrolowany przez atakującego.

NocoDB przed wersją 2026.04.1 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami columnAdd na wstrzykiwanie dowolnego SQL do silnika formuł poprzez argument direction funkcji ARRAYSORT(...). Wartość ta nie jest ograniczona przez walidację formuły i jest osadzana w klauzuli ORDER BY, co prowadzi do wykonania podczas tworzenia kolumny oraz przy każdym odczycie rekordu z kolumny formuły.

NocoDB przed wersją 2026.05.1 miał lukę, która pozwalała na dostęp do ukrytych kolumn w widokach współdzielonych. Endpointy relacji publicznych akceptowały identyfikator kolumny dostarczony przez użytkownika bez weryfikacji, czy kolumna była widoczna w danym widoku.

NocoDB przed wersją 2026.04.1 miał lukę, która pozwalała atakującym na uzyskanie dostępu do członków bazy danych poprzez UUID sesji współdzielonej. Atakujący mógł zapraszać dowolne adresy e-mail jako prawdziwych członków bazy, co prowadziło do nieautoryzowanego dostępu.

NocoDB przed wersją 2026.04.4 miał lukę w API załączników, która pozwalała uwierzytelnionym użytkownikom na pobieranie dowolnie dużych plików, co prowadziło do wyczerpania przestrzeni dyskowej i odmowy usługi.

NocoDB przed wersją 2026.04.1 miało lukę w zabezpieczeniach dotyczącą ciasteczka refresh-token, które było ustawione z httpOnly: true, ale brakowało mu flagi secure oraz atrybutu sameSite. To umożliwiało przechwycenie ciasteczka w sieci oraz ataki CSRF na punkt końcowy odświeżania tokenów.

NocoDB przed wersją 2026.04.1 miał nieprawidłową ochronę przed SSRF w czterech wtyczkach webhooków powiadomień (Slack, Discord, Mattermost, Teams). Użytkownik z uprawnieniami do tworzenia hooków mógł kierować wychodzące żądania POST do dowolnych wewnętrznych hostów.