NocoDBの脆弱性、閲覧権限者にTLS秘密鍵が漏えいするおそれ
Summary
NocoDBの2026.09.0より前のバージョンには、認証済みのベース閲覧者がデータソースを読み取ることでTLS秘密鍵を取得できる脆弱性があります。取得した鍵と証明書で外部データベースへ直接接続され、NocoDBの権限設定を迂回されるおそれがあります。修正版の2026.09.0が公開されているため、早めに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
NocoDBの2026.09.0より前のバージョンには、認証済みのベース閲覧者がデータソースを読み取ることでTLS秘密鍵を取得できる脆弱性があります。取得した鍵と証明書で外部データベースへ直接接続され、NocoDBの権限設定を迂回されるおそれがあります。修正版の2026.09.0が公開されているため、早めに更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nocodbnocodb |
< 2026.09.0→ 2026.09.0 |
2026.09.0 |
Original description The description as published by the source.
NocoDB before 2026.09.0 contains an information disclosure vulnerability that allows authenticated base Viewers to obtain TLS client private keys by reading a base's data source. The source read handler masked only the connection password, letting attackers retrieve the decrypted private key, client certificate and CA to connect directly to the external database, bypassing NocoDB permissions.
Source: CVE.org (CVE Program・cvelistV5) NVD