NocoDBの権限管理の脆弱性、取り消されたユーザーが編集権限を取り戻せる
概要
NocoDB 2026.04.0以降2026.08.0より前の版に、権限管理の脆弱性が見つかりました。組織ロールを更新すると既定のワークスペースの権限が書き換わり、権限を取り消されたユーザーが既存のセッショントークンを使って、ベース全体の読み書きやスキーマ変更を行えるおそれがあります。修正版の2026.08.0に更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
NocoDB 2026.04.0以降2026.08.0より前の版に、権限管理の脆弱性が見つかりました。組織ロールを更新すると既定のワークスペースの権限が書き換わり、権限を取り消されたユーザーが既存のセッショントークンを使って、ベース全体の読み書きやスキーマ変更を行えるおそれがあります。修正版の2026.08.0に更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| nocodbnocodb |
2026.04.0 以上 2026.08.0 未満→ 2026.08.0 |
2026.08.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
NocoDB from 2026.04.0 before 2026.08.0 contains an improper privilege management vulnerability in org-users.service.ts where updating a user's legacy organization role rewrites their default-workspace role. Revoked users can silently regain Creator-level read, write and schema modification access across all default-workspace bases using their existing session token.
出典: CVE.org (CVE Program・cvelistV5) NVD