NocoDB перед 2026.08.0 содержит уязвимость sql injection, которая позволяет аутентифицированным пользователям с доступом к чтению запускать произвольные запросы чтения через наследие, где параметр на PostgreSQL. Злоумышленники, в том числе пользователи Viewer-role, могут вводить отдельные кавычки в значения фильтров, конкатенированные CustomKnex.ts, чтобы читать другие таблицы, схемы, строки с фильтром просмотра и скрытые столбцы.
Показать оригинальное описание (EN)
NocoDB before 2026.08.0 contains an sql injection vulnerability that allows authenticated users with read access to run arbitrary read queries via the legacy where parameter on PostgreSQL. Attackers, including Viewer-role users, can inject single quotes into filter values concatenated by CustomKnex.ts to read other tables, schemas, view-filtered rows, and hidden columns.
Характеристики атаки
Последствия
Строка CVSS v4.0