NocoDBの権限管理の脆弱性、取り消されたユーザーが編集権限を取り戻せる
Summary
NocoDB 2026.04.0以降2026.08.0より前の版に、権限管理の脆弱性が見つかりました。組織ロールを更新すると既定のワークスペースの権限が書き換わり、権限を取り消されたユーザーが既存のセッショントークンを使って、ベース全体の読み書きやスキーマ変更を行えるおそれがあります。修正版の2026.08.0に更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
NocoDB 2026.04.0以降2026.08.0より前の版に、権限管理の脆弱性が見つかりました。組織ロールを更新すると既定のワークスペースの権限が書き換わり、権限を取り消されたユーザーが既存のセッショントークンを使って、ベース全体の読み書きやスキーマ変更を行えるおそれがあります。修正版の2026.08.0に更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nocodbnocodb |
≥ 2026.04.0, < 2026.08.0→ 2026.08.0 |
2026.08.0 |
Original description The description as published by the source.
NocoDB from 2026.04.0 before 2026.08.0 contains an improper privilege management vulnerability in org-users.service.ts where updating a user's legacy organization role rewrites their default-workspace role. Revoked users can silently regain Creator-level read, write and schema modification access across all default-workspace bases using their existing session token.
Source: CVE.org (CVE Program・cvelistV5) NVD