NocoDBの脆弱性2件、修正版2026.08.0が公開
Summary
NocoDBの2026.08.0より前の版に、セッションを乗っ取られかねない脆弱性が2件あります。自社で運用している場合は2026.08.0へ更新し、Creatorロールを持つ利用者も確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
NocoDBの2026.08.0より前の版に、セッションを乗っ取られかねない脆弱性が2件あります。自社で運用している場合は2026.08.0へ更新し、Creatorロールを持つ利用者も確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nocodbnocodb |
< 2026.08.0→ 2026.08.0 |
2026.08.0 |
Original description The description as published by the source.
NocoDB before 2026.08.0 contains a stored cross-site scripting vulnerability that allows authenticated Creator users to inject script by embedding markup in column or table titles. The Delete.vue confirmation dialog renders these titles through an unescaped innerHTML binding, executing script when a victim deletes an external-source table to steal session tokens from localStorage.
Source: CVE.org (CVE Program・cvelistV5) NVD