NocoDBの脆弱性、認証済みユーザーの操作でサーバーが停止する
概要
NocoDBの0.300.0以降2026.04.4より前のバージョンに、認証済みのユーザーがサーバーを停止させられる脆弱性が見つかりました。MetaServiceのメタデータ記録で、処理されない promise の拒否が起きることが原因です。修正版の2026.04.4に更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
NocoDBの0.300.0以降2026.04.4より前のバージョンに、認証済みのユーザーがサーバーを停止させられる脆弱性が見つかりました。MetaServiceのメタデータ記録で、処理されない promise の拒否が起きることが原因です。修正版の2026.04.4に更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| nocodbnocodb |
0.300.0 以上 2026.04.4 未満→ 2026.04.4 |
2026.04.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
NocoDB from 0.300.0 before 2026.04.4 contains a denial of service vulnerability that allows authenticated users to crash the server by triggering an unhandled promise rejection in MetaService metadata logging. Attackers can send a request leaving a lookup condition undefined, causing knex binding errors in the unawaited logHelper call that terminate the server process.
出典: CVE.org (CVE Program・cvelistV5) NVD