NocoDBのSQLインジェクション脆弱性、登録ユーザーのメールアドレスから任意のSQLを実行されるおそれ
概要
NocoDB 2026.06.2より前のバージョンには、ユーザーのメールアドレスを経由してSQLを実行される脆弱性があります。登録済みのユーザーが細工したメールアドレスを設定すると、ユーザー情報やAPIトークン、データソースの認証情報が漏れるおそれがあります。修正版の2026.06.2が公開されているため、速やかに更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
NocoDB 2026.06.2より前のバージョンには、ユーザーのメールアドレスを経由してSQLを実行される脆弱性があります。登録済みのユーザーが細工したメールアドレスを設定すると、ユーザー情報やAPIトークン、データソースの認証情報が漏れるおそれがあります。修正版の2026.06.2が公開されているため、速やかに更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| nocodbnocodb |
2026.06.2 未満→ 2026.06.2 |
2026.06.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
NocoDB before 2026.06.2 contains an SQL injection vulnerability in base-user.cte.utils.ts, which concatenates base members' email addresses into the SQL text of queries resolving user, created-by or last-modified-by fields. Registered users can set an email with a quoted local part containing a single quote to execute arbitrary SQL, exposing user records, API tokens and data-source credentials.
出典: CVE.org (CVE Program・cvelistV5) NVD