NocoDB перед 2026.09.1 содержит отсутствующую уязвимость аутентификации в агрегированном маршруте метаинформации utils.controller.ts, который предоставляет метаданные для всего экземпляра анонимным абонентам. Неизвестные злоумышленники могут запросить конечную точку для перечисления баз, количества пользователей, общего и защищенного паролем количества просмотров, количества веб-крюков и количества строк в реальном времени для каждой базы, в то время как повторные запросы усиливают нагрузку на запросы к базе данных.
Показать оригинальное описание (EN)
NocoDB before 2026.09.1 contains a missing authentication vulnerability in the aggregated meta info route of utils.controller.ts that exposes instance-wide metadata to anonymous callers. Unauthenticated attackers can request the endpoint to enumerate bases, user counts, shared and password-protected view counts, webhook counts, and live per-base row counts, while repeated requests amplify database query load.
Характеристики атаки
Последствия
Строка CVSS v4.0