NocoDBに認証なしでサーバーのリソースを枯渇させられる脆弱性
Summary
NocoDBの共有ビューの一括処理APIに、フィルター配列の数を制限しない不備があり、認証なしの攻撃者が大量のフィルターを送ってサーバーを停止させるおそれがあります。影響を受けるのは2026.08.1より前の版で、2026.08.1で修正されています。CVSS v3.0は7.5、v4.0は8.7で、2026年11月13日に公表されました。2026.08.1以降の版へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
NocoDBの共有ビューの一括処理APIに、フィルター配列の数を制限しない不備があり、認証なしの攻撃者が大量のフィルターを送ってサーバーを停止させるおそれがあります。影響を受けるのは2026.08.1より前の版で、2026.08.1で修正されています。CVSS v3.0は7.5、v4.0は8.7で、2026年11月13日に公表されました。2026.08.1以降の版へ更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nocodbnocodb |
< 2026.08.1→ 2026.08.1 |
2026.08.1 |
Original description The description as published by the source.
NocoDB before 2026.08.1 contains an uncontrolled resource consumption vulnerability that allows unauthenticated attackers to exhaust server resources by sending unbounded filter arrays to shared-view bulk endpoints. Attackers with a shared view UUID can POST a large body of minimal filter objects, triggering a full database query per entry, to crash the NocoDB process.
Source: CVE.org (CVE Program・cvelistV5) NVD