NocoDBに脆弱性2件、管理者権限奪取など修正版あり
Summary
NocoDBの2026.09.0より前の版に、添付ファイル経由で他の利用者になりすませるXSSと、新規構築時に管理者権限を奪われる脆弱性があります。自社で運用しているなら2026.09.0へ更新し、見覚えのない管理者がいないかも確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
NocoDBの2026.09.0より前の版に、添付ファイル経由で他の利用者になりすませるXSSと、新規構築時に管理者権限を奪われる脆弱性があります。自社で運用しているなら2026.09.0へ更新し、見覚えのない管理者がいないかも確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nocodbnocodb |
< 2026.09.0→ 2026.09.0 |
2026.09.0 |
Original description The description as published by the source.
NocoDB before 2026.09.0 contains a stored cross-site scripting vulnerability that allows authenticated Editor users to execute scripts by storing crafted attachment MIME types like text/html;image/png. Attackers can write the value through the records API so the /dltemp signed URL serves HTML inline, stealing session tokens from localStorage to impersonate victims.
Source: CVE.org (CVE Program・cvelistV5) NVD