NocoDBのSQLインジェクション脆弱性、登録ユーザーのメールアドレスから任意のSQLを実行されるおそれ
Summary
NocoDB 2026.06.2より前のバージョンには、ユーザーのメールアドレスを経由してSQLを実行される脆弱性があります。登録済みのユーザーが細工したメールアドレスを設定すると、ユーザー情報やAPIトークン、データソースの認証情報が漏れるおそれがあります。修正版の2026.06.2が公開されているため、速やかに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
NocoDB 2026.06.2より前のバージョンには、ユーザーのメールアドレスを経由してSQLを実行される脆弱性があります。登録済みのユーザーが細工したメールアドレスを設定すると、ユーザー情報やAPIトークン、データソースの認証情報が漏れるおそれがあります。修正版の2026.06.2が公開されているため、速やかに更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nocodbnocodb |
< 2026.06.2→ 2026.06.2 |
2026.06.2 |
Original description The description as published by the source.
NocoDB before 2026.06.2 contains an SQL injection vulnerability in base-user.cte.utils.ts, which concatenates base members' email addresses into the SQL text of queries resolving user, created-by or last-modified-by fields. Registered users can set an email with a quoted local part containing a single quote to execute arbitrary SQL, exposing user records, API tokens and data-source credentials.
Source: CVE.org (CVE Program・cvelistV5) NVD